Het doel en de probleemoplossing van ISE Services begrijpen

Inleiding

In dit document worden de services, het doel en de probleemoplossing van ISE beschreven.

Voorwaarden

RADIUS

---

Vereisten

Cisco raadt u aan kennis te hebben over:

• Cisco Identity Services-engine

---

Gebruikte componenten

Het document is niet beperkt tot specifieke software- en hardwareversies van Cisco Identity Services Engine.

---

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

Cisco Identity Services Engine (ISE) is een uitgebreide oplossing die is ontworpen om geavanceerde netwerkbeveiliging te bieden via gecentraliseerd beleidsbeheer, verificatie, autorisatie en boekhouding (AAA). Het stelt organisaties in staat om netwerktoegang voor gebruikers, apparaten en toepassingen te beheren en tegelijkertijd te zorgen voor beveiliging, compliance en naadloze gebruikerservaringen.

Om deze doelen te bereiken, maakt Cisco ISE gebruik van een reeks services, die elk verantwoordelijk zijn voor specifieke taken die het systeem in staat stellen efficiënt te functioneren. Deze services werken samen om te zorgen voor veilige netwerktoegang, robuuste beleidshandhaving, gedetailleerde logboekregistratie, naadloze integraties met externe systemen en efficiënte apparaatprofilering.

---

Elke service in ISE speelt een cruciale rol bij het handhaven van de integriteit en beschikbaarheid van de oplossing. Sommige services verwerken kernfuncties, zoals databasebeheer en verificatie, terwijl andere geavanceerde functies mogelijk maken, zoals apparaatprofilering, certificaatbeheer en bewaking.

Dit artikel biedt een overzicht van de verschillende services in Cisco ISE, waarin het doel, het belang en de mogelijke stappen voor probleemoplossing worden uitgelegd als er problemen optreden. Of u nu een beheerder of een netwerkbeveiligingsprofessional bent, het begrijpen van deze services helpt ervoor te zorgen dat uw ISE-implementatie soepel en veilig verloopt.

---

ISE-services begrijpen en oplossen van problemen

De services die in de volgende schermafbeelding worden genoemd, worden door ISE gebruikt om de functionaliteit ervan te ondersteunen. Controleer de status of services die beschikbaar zijn in ISE door de opdracht Toepassingsstatus weergeven via CLI van de ISE-node uit te voeren. Dit is een voorbeelduitvoer die de status of beschikbare services op de ISE weergeeft:

---

Diensten beschikbaar in ISE.

---

Bekijk nu elke service in detail.

---

Databaseluisteraar

De Database Listener-service is een essentieel onderdeel dat helpt bij het beheer van de communicatie tussen ISE en de databaseserver. Het luistert naar en verwerkt verzoeken met betrekking tot de database, zodat het ISE-systeem kan lezen van en schrijven naar de onderliggende database.

---

Belangrijkste punten op de Database Listener Service in ISE

1. Communicatie-interface: het fungeert als de communicatiebrug tussen ISE en de databaseserver, waardoor het systeem gegevens zoals gebruikersreferenties, sessiegegevens, netwerkbeleid en meer kan ophalen en opslaan.

2. Externe databasesupport: ISE kan worden geconfigureerd om een externe database (zoals Oracle of Microsoft SQL Server) te gebruiken voor gebruikersverificatie en beleidsopslag. De Database Listener Service zorgt ervoor dat ISE veilig en efficiënt verbinding kan maken met en interactie kan hebben met deze externe database.

3. Gegevensverwerking: De service luistert naar databasequery's van het ISE-systeem en vertaalt deze naar de juiste acties op de externe database. Het kan verzoeken behandelen zoals het invoegen, bijwerken of verwijderen van records en het ophalen van informatie uit de database.

4. Database Health Monitoring: Naast het aanbieden van het communicatiekanaal, helpt het ook om ervoor te zorgen dat de verbinding met de externe database stabiel en operationeel is. Als de verbinding uitvalt, valt ISE terug naar de lokale opslag of wordt afhankelijk van de configuratie een gedegradeerde modus ingevoerd.

---

Databaseserver

De databaseserverservice is verantwoordelijk voor het beheer van de opslag en het ophalen van gegevens die door het systeem worden gebruikt. Het verwerkt de interactie met de onderliggende database die ISE gebruikt om configuratie, beleidsinformatie, gebruikersgegevens, verificatielogs, apparaatprofielen en andere noodzakelijke informatie op te slaan.

---

Belangrijkste punten op de databaseserverservice in ISE

1. Interne gegevensopslag: de databaseserverservice beheert voornamelijk de interne geïntegreerde database die ISE gebruikt om operationele gegevens lokaal op te slaan. Dit omvat gegevens zoals verificatie- en autorisatierecords, gebruikersprofielen, netwerktoegangsbeleid, apparaat- en eindpuntgegevens en sessiegegevens.

2. Embedded Database: In de meeste Cisco ISE-implementaties gebruikt het systeem een geïntegreerde PostgreSQL-database voor lokale opslag. De databaseserverservice zorgt ervoor dat deze database soepel werkt en alle query's, updates en beheertaken verwerkt die verband houden met de gegevens die erin zijn opgeslagen.

3. Integriteit van de database: de service zorgt ervoor dat alle transacties correct worden verwerkt en dat de integriteit van de database wordt gehandhaafd. Het behandelt taken zoals het vergrendelen van records, het beheren van databaseverbindingen en het uitvoeren van databasequery's.

---

Controleren of de Database Listener- en Database Server-services al dan niet worden geïnitialiseerd en problemen oplossen

De Database Listener en Database Server zijn essentiële services die samen moeten worden uitgevoerd om alle andere services goed te laten functioneren. Als deze services niet worden uitgevoerd of vastlopen tijdens de initialisatie, helpen deze stappen voor probleemoplossing bij het herstel. 

---

1. Start de ISE-services opnieuw op door de toepassingsstop uit te voeren en de opdrachten voor het starten van de toepassing uit te voeren.

2. Als dit een VM-knooppunt is, moet het opnieuw opstarten van de knooppunt vanaf de VM helpen bij het herstel van services.

3. Als het knooppunt een fysiek knooppunt is, moet het opnieuw opstarten/herladen van het knooppunt van CIMC helpen bij het herstel van services.

4. Als de database beschadigd is, neemt u contact op met Cisco TAC voor verdere probleemoplossing. 

---

De Database Listener en de Database Server gaan meestal naar beneden of starten niet wanneer er een discrepantie in de database is of wanneer de database niet goed kan worden geïnitialiseerd. In die gevallen moet het uitvoeren van het resetten van toepassingen met behulp van de opdrachtconfiguratie voor het resetten van toepassingen helpen bij het herstel en het opnieuw starten van de database. Het uitvoeren van de opdracht Reset-config van de toepassing verwijdert configuraties en certificaten, maar IP-adres- en domeinnaamgegevens blijven behouden. Het wordt aanbevolen om contact op te nemen met Cisco TAC voor meer informatie en om de potentiële impact te begrijpen voordat u dit commando op een knooppunt in de implementatie toepast.

---

toepassingsserver

De Application Server is een belangrijk onderdeel dat verantwoordelijk is voor het uitvoeren en beheren van de kernfunctionaliteit en -services van het ISE-platform. Het host de bedrijfslogica, gebruikersinterfaces en services waarmee ISE haar rol kan vervullen in netwerktoegangscontrole, verificatie, autorisatie, boekhouding en beleidsbeheer.

---

Belangrijkste punten over de Application Server Service in ISE

1. Gebruikersinterface (UI): De Application Server Service is verantwoordelijk voor het renderen van de webgebaseerde gebruikersinterface (UI) voor ISE. Hiermee kunnen beheerders beleid configureren en beheren, logboeken en rapporten bekijken en communiceren met andere functies van ISE.

2. Service Management: Het is verantwoordelijk voor de afhandeling van de verschillende diensten die ISE levert; inclusief beleidsbeheer, administratieve taken en communicatie met andere ISE-knooppunten in een gedistribueerde implementatie.

3. Gecentraliseerde verwerking: de Application Server Service speelt een centrale rol in de ISE-architectuur en biedt de logica die de beleidsregels, verificatieverzoeken en gegevens van netwerkapparaten, directory's en externe services interpreteert.

---

Verificatie voor toepassingsserver wordt geïnitialiseerd of wordt niet uitgevoerd

De toepassingsserver is afhankelijk van webtoepassingen zoals certificaten, resources, implementatie en licenties. Wanneer een van de webtoepassingen niet wordt geïnitialiseerd, blijft de toepassingsserver in de initialiserende staat onbeweeglijk. De toepassingsserver duurt ongeveer 15 - 35 minuten voordat de modus Niet actief is → Initialiseren → Uitvoeren, afhankelijk van de configuratiegegevens op de node.

---

1. Zorg ervoor dat het beheerderscertificaat van ISE geldig is en actief is bij de implementatie voor alle knooppunten.
2. Zorg ervoor dat alle nodes in de implementatie synchroon lopen met de primaire beheernode.
3. Als de node een VM is, zorg er dan voor dat de aanbevolen bronnen aan de node worden toegewezen.

Controleer de status van de toepassingsserver door de opdracht Toepassingsstatus weergeven uit te voeren vanuit de CLI van de ISE-node. De meeste logbestanden met betrekking tot de toepassingsserver zijn beschikbaar onder de bestanden Catalina.Out en Localhost.log.

Als aan de voorwaarden is voldaan en de toepassingsserver in de initialiserende staat onmobiel blijft, beveiligt u de supportbundel vanuit de CLI/GUI van ISE. Herstel/herstart de services door de toepassingsstop uit te voeren en de opdrachten voor het starten van de toepassing uit te voeren.

---

Profilerdatabase

De Profilerdatabase wordt gebruikt om informatie op te slaan over netwerkapparaten, eindpunten en apparaatprofielen die door de Profilerservice zijn ontdekt. Dit is een essentieel onderdeel van ISE dat netwerkapparaten (zoals computers, smartphones, printers, IoT-apparaten enzovoort) automatisch identificeert en classificeert op basis van netwerkkenmerken en -gedrag.

---

Belangrijkste punten over de Profiler Database Service in ISE

1. Apparaatprofilering: De belangrijkste functie van de Profiler Database Service is het ondersteunen van het profileringsproces. ISE gebruikt deze service om informatie op te slaan die het verzamelt tijdens profilering, zoals:

• Type apparaat (bijvoorbeeld smartphone, laptop, printer, IoT-apparaten, enzovoort)
• Besturingssysteem(s) voor apparaten (bijvoorbeeld Fsor, Windows®, macOS®, Cisco IOS®, Android®)
• Fabrikant van medisch hulpmiddel
• Netwerkgedrag of -patronen die helpen bij het classificeren van apparaten

2. Profilerinformatie: slaat profilerkenmerken op, zoals de hardware- en softwareprofielen van het apparaat, die worden gebruikt om apparaten aan vooraf gedefinieerde beleidsregels te koppelen. Deze informatie wordt gebruikt om apparaten dynamisch toe te wijzen aan het juiste netwerktoegangsbeleid of VLAN's op basis van hun profiel.

3. Profileringsproces: Het profileringsproces is doorgaans gebaseerd op:

• Actieve profilering: ISE zoekt actief naar apparaten op het netwerk voor informatie.
• Passieve profilering: ISE verzamelt passief gegevens uit netwerkverkeer, zoals DHCP-verzoeken, RADIUS-kenmerken, HTTP-headers en andere netwerkprotocollen om het apparaattype te bepalen.

---

ISE Profiling Services verifiëren en oplossen

1. Voer vanuit ISE CLI de opdracht Toepassingsstatus weergeven ise uit om te controleren of de databaseservice voor profilers actief is.

2. Navigeer vanuit de GUI van de primaire beheernode naar Beheer > Implementatie > De node selecteren. Klik op Bewerken en controleer of de sessieservices zijn ingeschakeld en of de profielservices zijn ingeschakeld. 

3. Ga nu naar Beheer > Implementatie > Het knooppunt selecteren. Ga naar Profiler Configuration en controleer of de vereiste sondes zijn ingeschakeld voor het beveiligen van de eindpuntgegevens. 

4. Ga naar Beheer > Systeem > Profilering en controleer of de profielinstellingen zijn geconfigureerd voor CoA. 

5. Selecteer vanuit de Contextzichtbaarheid > Eindpunten de eindpunten en controleer de kenmerken die door verschillende sondes voor de eindpunten zijn verzameld.

---

Nuttige foutopsporingen voor het oplossen van problemen met profilering:

• Profiler (profiler.log) 
• runtime-AAA (prrt-server.log)
• NSF (ISE-PSC.log)
• NSF-sessie (ISE.psc.log)

---

ISE-indexeringsmotor

De indexeringsengine is een service die verantwoordelijk is voor het efficiënt zoeken, indexeren en ophalen van gegevens die zijn opgeslagen in de ISE-database. Het verbetert de prestaties en schaalbaarheid van ISE, met name als het gaat om het verwerken van grote hoeveelheden gegevens en het bieden van snelle toegang tot informatie die nodig is voor verificatie-, autorisatie-, monitoring- en rapportagetaken.

---

Belangrijkste punten over de ISE Indexing Engine in ISE

1. Gegevensindexering: De ISE-indexeringsengine maakt indexen voor verschillende soorten gegevens die in ISE zijn opgeslagen, zoals verificatielogs, sessielogs, beleidshits, profileringsgegevens en netwerktoegangsrecords. Indexering helpt bij het organiseren van gegevens die ervoor zorgen dat zoeken en vragen efficiënter zijn.

2. Logbeheer en -rapportage: deze service speelt een cruciale rol bij het beheer van logbestanden door de prestaties van rapportage en logvragen te verbeteren. Bij het zoeken naar specifieke verificatiegebeurtenissen maakt de indexeringsengine het sneller ophalen van de gewenste records mogelijk, wat cruciaal is voor beveiligingsbewaking en nalevingsrapportage.

3. Data Retrieval: De indexeringsengine is er ook verantwoordelijk voor dat ISE geïndexeerde gegevens efficiënt kan ophalen uit de onderliggende database wanneer dat nodig is. Hiermee kan ISE snel antwoorden geven op vragen van de gebruikersinterface, externe tools of API's.

---

Controleer of de ISE-indexeringsengine niet wordt uitgevoerd of geïnitialiseerd

1. Verifieer dat forward- en reverse DNS-opzoekingen werken of dat alle knooppunten in het cluster via CLI de opdracht nslookup <FQDN / IP-adres van de ISE-node> gebruiken. 
2. Controleer of de ISE-beheercertificaten geldig en actief zijn voor alle knooppunten in het cluster.
3. Controleer of NTP werkt in sync met de ISE-nodes via CLI door de opdracht show ntp uit te voeren. 

De indexeringsengine wordt gebruikt door Context Visibility en de indexeringsengine moet actief zijn om Context Visibility goed te laten werken. Handige logbestanden die helpen bij het oplossen van problemen zijn ADE.log-bestanden. Deze kunnen worden beveiligd vanuit de ondersteuningsbundel of via CLI worden doorgestuurd door het showlogsysteem ade/ADE.log tail-commando uit te voeren wanneer het probleem zich voordoet. 

---

AD-connector

De AD Connector (Active Directory Connector) is een service waarmee ISE kan integreren met Microsoft Active Directory (AD), waardoor ISE gebruikers kan verifiëren, autoriseren en beheren op basis van hun AD-referenties en groepslidmaatschappen. De AD-connector dient als brug tussen ISE en Active Directory, waardoor ISE AD kan gebruiken voor netwerktoegangscontrole (NAC) en beleidshandhaving. 

---

Belangrijkste functies van de AD Connector Service in ISE

1. Integratie met Active Directory: De AD Connector Service fungeert als een brug tussen ISE en Active Directory. Hiermee kan ISE veilig verbinding maken met AD, waardoor ISE AD kan gebruiken als een gecentraliseerde identiteitsopslag voor gebruikersverificatie en beleidshandhaving.
2. Synchronisatie: de AD Connector Service ondersteunt het synchroniseren van gebruikers- en groepsgegevens van Active Directory naar ISE. Dit zorgt ervoor dat ISE bijgewerkte informatie heeft over gebruikers en groepen, wat cruciaal is voor een nauwkeurige handhaving van het beleid.
3. Beveiligde communicatie: de AD Connector Service creëert veilige communicatiekanalen tussen ISE en Active Directory, meestal met behulp van protocollen zoals LDAP over SSL (LDAPS) om de privacy en integriteit van gegevens te waarborgen tijdens verificatie- en queryprocessen.
4. Ondersteuning voor meerdere Active Directory-domeinen: de service kan verbindingen met meerdere Active Directory-domeinen ondersteunen. Dit is met name handig in grote omgevingen of omgevingen met meerdere domeinen waar ISE gebruikers uit verschillende AD-bossen of -domeinen moet verifiëren.
5. Gebruiker en groep opzoeken: Hiermee kan ISE zoeken naar AD voor gebruikers- en groepsgegevens. Dit kan gegevens bevatten zoals gebruikersnamen, groepslidmaatschappen en andere gebruikerskenmerken die kunnen worden gebruikt om netwerktoegangsbeleid af te dwingen. Zo kan het beleid voor netwerktoegang worden toegepast op basis van het lidmaatschap van een AD-gebruikersgroep (bijvoorbeeld: het verlenen van verschillende toegangsniveaus aan gebruikers in verschillende groepen).

---

1. Controleer of NTP synchroon loopt met de knooppunten en het tijdsverschil tussen AD en ISE; moet minder dan 5 minuten duren.

2. Controleer of de DNS-server FQDN's en domeinen met betrekking tot AD kan oplossen.

3. Navigeer naar Bewerkingen > Rapporten > Rapporten > Diagnostiek > Bewerkingen AD-connector en controleer de gebeurtenissen of rapporten met betrekking tot AD. 

Nuttige logs voor het oplossen van problemen zijn ad_agent.log met foutopsporingslogs voor runtime-componenten. 

---

M&T Session Database

M&T Session Database (Monitoring and Troubleshooting Session Database) speelt een cruciale rol bij het opslaan en beheren van sessiegerelateerde gegevens voor netwerktoegangsevenementen. De M&T Session Database bevat informatie over actieve sessies. Dit omvat gebruikersverificaties, apparaatverbindingen en netwerktoegangsevenementen, wat essentieel is voor het bewaken, oplossen van problemen en analyseren van netwerkactiviteiten.

---

Belangrijkste functies van M&T Session Database Service in ISE

1. Session Data Storage: De M&T Session Database-service is verantwoordelijk voor het opslaan en indexeren van gebruikers- en apparaatdatasessies op het netwerk. Dit omvat start- en eindtijden van sessies, verificatieresultaten, gebruikers- of apparaatidentiteit en de bijbehorende beleidsregels (zoals roltoewijzingen of VLAN-toewijzingen). De gegevens bevatten ook boekhoudkundige informatie van RADIUS die de levenscyclus van de sessie beschrijft, inclusief initiële verificatie en alle boekhoudkundige berichten die sessiegebeurtenissen bijhouden.
2. Real-time en historische gegevens: de service biedt toegang tot real-time sessiegegevens (actieve sessies) en historische sessiegegevens (eerdere sessies). Hierdoor kunnen beheerders niet alleen de toegang van gebruikers controleren, maar ook terugkijken naar eerdere sessielogboeken om problemen te onderzoeken of toegangsevenementen te valideren. Real-time sessiemonitoring zorgt ervoor dat er momenteel geen ongeautoriseerde apparaten in het netwerk zijn.
3. Verbeterde bewaking: biedt inzicht in de activiteiten van gebruikers en apparaten, inclusief het beleid dat op hun sessies wordt toegepast, om potentiële beveiligingsproblemen of ongeautoriseerde toegang te detecteren.
4. Auditing en rapportage: vergemakkelijkt compliance-audits en -rapportage door een geschiedenis van netwerktoegangsevenementen op te slaan en gegevens te verstrekken voor rapportage over regelgeving.

---

M&T-sessiedatabase in ISE verifiëren en oplossen

1. Controleer of de node is toegewezen met aanbevolen bronnen.

2. Beveilig en voer de showtech-ondersteuning van de ISE CLI uit voor verdere verificatie van het probleem. 

3. Stel de M&T-sessiedatabase opnieuw in door de opdracht Toepassing configureren ise uit te voeren in de ISE CLI en selecteer optie 1.

---

---

Bekende gebreken: Cisco bug ID 32364

---

M&T-logprocessor

De M&T Log Processor (Monitoring and Troubleshooting Log Processor) is een onderdeel dat verantwoordelijk is voor het verzamelen, verwerken en beheren van loggegevens die door verschillende services binnen ISE worden gegenereerd. Het is een belangrijk onderdeel van het Monitoring and Troubleshooting (M&T)-framework, dat beheerders helpt bij het monitoren en oplossen van netwerktoegangsevenementen, verificatiepogingen, beleidshandhaving en andere activiteiten binnen het ISE-systeem. De M&T Log Processor behandelt specifiek de verwerking van logboekgegevens, waardoor ISE de benodigde informatie kan opslaan, analyseren en presenteren voor rapportage, audit en probleemoplossing.

---

Belangrijkste functies van de M&T Log Processor Service in ISE

1. Logverzameling en -verwerking: De M&T Log Processor Service verzamelt en verwerkt logboeken die zijn gegenereerd door verschillende ISE-componenten, zoals authenticatieverzoeken, autorisatiebeslissingen, boekhoudkundige berichten en beleidshandhavingsactiviteiten. Deze logs bevatten gedetailleerde informatie over gebruikers, apparaten en pogingen tot netwerktoegang, zoals tijdstempels, gebruikers-ID's, apparaattypen, toegepast beleid, succes of falen van toegangsverzoeken en redenen voor storingen.
2. Rapportage en naleving: logboeken die door deze service worden verwerkt, zijn van cruciaal belang voor nalevingsrapportage. Veel voorschriften vereisen dat organisaties logboeken van gebruikerstoegang en beveiligingsgebeurtenissen bewaren. De M&T Log Processor Service zorgt ervoor dat alle relevante logs worden verwerkt en beschikbaar zijn voor wettelijke nalevingsgerichte audits. Het helpt bij het genereren van gedetailleerde rapporten op basis van loggegevens, zoals logboeken voor gebruikerstoegang, succespercentages voor verificatie/storingen of logboeken voor beleidshandhaving.

---

De M&T-logprocessorservice in ISE verifiëren en oplossen

1. Zorg ervoor dat de ISE-node wordt geïmplementeerd met de aanbevolen bronnen volgens de Cisco Installation Guide. 
2. Om het probleem te verifiëren, voert u de staartopdracht show logging system ade/ADE.log uit via de ISE CLI voor relevante uitzonderingen/fouten.

Bekende gebreken: Cisco-bug ID15130

---

Certificate Authority-service

De Certificate Authority (CA)-service is een essentieel onderdeel dat helpt bij het beheer van digitale certificaten voor het beveiligen van communicatie en het verifiëren van apparaten, gebruikers en netwerkservices. Digitale certificaten zijn van essentieel belang voor het tot stand brengen van betrouwbare verbindingen en het waarborgen van veilige communicatie tussen clients (computers, smartphones, netwerkapparaten) en netwerkinfrastructuurcomponenten (switches, draadloze toegangspunten, VPN-gateways). De CA-service in Cisco ISE werkt samen met X.509-certificaten, die voor verschillende doeleinden worden gebruikt in netwerkbeveiliging, waaronder 802.1X-verificatie, VPN-toegang, beveiligde communicatie en SSL / TLS-codering.

---

Belangrijkste functies van Certificate Authority Service in ISE

1. Certificaatbeheer: De Certificate Authority Service is verantwoordelijk voor de afhandeling van de creatie, uitgifte, beheer en vernieuwing van digitale certificaten binnen ISE. Deze certificaten worden gebruikt voor verschillende verificatieprotocollen en coderingsdoeleinden in het netwerk. Het kan fungeren als de interne certificeringsinstantie of integreren met een externe CA (bijvoorbeeld Microsoft AD CS, Public CA's zoals VeriSign of DigiCert) om certificaten uit te geven.
2. Certificaten afgeven: voor omgevingen die EAP-TLS of vergelijkbare certificaatgebaseerde verificatiemethoden vereisen, kan ISE certificaten afgeven voor Network Access Devices (NAD's), gebruikers of eindpunten. ISE kan automatisch certificaten genereren en implementeren voor het verifiëren van apparaten en gebruikers, of het kan certificaten aanvragen bij een externe CA.
   • Certificaatinschrijving: de CA-service ondersteunt certificaatinschrijving voor eindpunten, zoals laptops, telefoons en andere netwerkapparaten, die moeten worden geverifieerd op het netwerk met behulp van certificaten. ISE maakt gebruik van protocollen zoals SCEP (Simple Certificate Enrollment Protocol) of ACME (Automated Certificate Management Environment) om certificaatinschrijving voor apparaten te vergemakkelijken.
   • Certificaatverlenging: De service automatiseert de verlenging van verlopen certificaten voor zowel apparaten als gebruikers. Het zorgt ervoor dat certificaten altijd geldig en up-to-date zijn, waardoor serviceonderbrekingen door verlopen certificaten worden voorkomen.
3. Integratie met externe certificeringsinstanties: Hoewel ISE kan fungeren als een eigen CA, is het gebruikelijker om te integreren met een externe CA (bijvoorbeeld Microsoft Active Directory Certificate Services). De CA-service kan de interactie tussen ISE en de externe CA beheren en zo nodig certificaten aanvragen voor gebruikers, apparaten en netwerkbronnen.

---

EST-service

Enrollment over Secure Transport (EST) Service is een protocol dat wordt gebruikt om veilig digitale certificaten uit te geven aan netwerkapparaten en gebruikers in een op certificaten gebaseerde authenticatieomgeving. EST is een certificaatinschrijvingsprotocol waarmee apparaten op een veilige en geautomatiseerde manier certificaten kunnen aanvragen bij een certificeringsinstantie (CA). EST-service is handig voor apparaatverificatie, zoals in 802.1X-omgevingen, VPN-verbindingen of BYOD-scenario's (Bring Your Own Device), waarbij apparaten moeten verifiëren op het netwerk met behulp van certificaten.

---

Belangrijkste functies van de EST-service in ISE

1. Certificaatinschrijving: De EST-service is verantwoordelijk voor het mogelijk maken van veilige certificaatinschrijving voor apparaten (zoals switches, toegangspunten of eindpunten) waarvoor certificaten voor verificatie vereist zijn. De inschrijving wordt voltooid via beveiligd transport (zoals HTTPS), waardoor het proces wordt gecodeerd en beschermd tegen ongeoorloofde toegang.
2. Certificaatintrekking en -verlenging: Zodra certificaten zijn ingeschreven, speelt de EST-service ook een rol bij het beheer van certificaatintrekking of -verlenging. Apparaten moeten bijvoorbeeld een nieuw certificaat aanvragen wanneer het huidige verloopt, en EST kan helpen dit proces te automatiseren.
3. Verbeterde netwerktoegangscontrole: door apparaten in staat te stellen te verifiëren met behulp van certificaten, versterkt de EST-service de beveiligingspositie van het netwerk in omgevingen met 802.1X-verificatie.

---

Certificaatinstantie en EST-service controleren of deze niet actief zijn/initialiseren

1. Navigeer naar Beheer > Systeem > Certificaten > Certificaatautoriteit > Interne CA-instellingen. Zorg ervoor dat de CA-, EST- en OCSP-responderstatus is gesorteerd en ingeschakeld.
2. Nuttige debugs die kunnen helpen bij het oplossen van problemen zijn est, provisioning, ca-service en ca-service-cert. Raadpleeg de bestanden ise-psc.log, catalina.out, caservice.log en error.log.
3. Controleer of de ISE Root CA- en ISE-berichtencertificaten geldig zijn tijdens de implementatie. Als vernieuwing van ISE Root CA vereist is, gaat u naar Beheer > Certificaten > Certificaatondertekeningsaanvragen > Certificaatondertekeningsaanvraag genereren. Selecteer Gebruik als ISE Root CA. Klik op ISE Root CA vernieuwen.

---

SXP Engine Service

SXP Engine Service is verantwoordelijk voor het beheren en faciliteren van communicatie tussen ISE en netwerkapparaten met behulp van de Security Group Tag (SGT) en het Security Group Exchange Protocol (SXP). Het speelt een cruciale rol bij het ondersteunen van TrustSec-beleid, dat wordt gebruikt om netwerktoegangscontrole af te dwingen op basis van de beveiligingsgroep van het apparaat in plaats van alleen IP-adressen of MAC-adressen. De SXP-engine in ISE wordt voornamelijk gebruikt voor de uitwisseling van informatie over beveiligingsgroepen, die helpt bij het afdwingen van beleid op basis van gebruikers- of apparaatidentiteit, -toepassing en -locatie. Hiermee kunnen apparaten Security Group Tags (SGT's) delen, die worden gebruikt om beveiligingsbeleid af te dwingen op netwerkapparaten, zoals routers en switches.

---

Belangrijkste functies van SXP Engine Service in ISE

1. Integratie met TrustSec: SXP wordt vaak geïmplementeerd in omgevingen die gebruikmaken van Cisco TrustSec, een oplossing die consistent beveiligingsbeleid afdwingt voor zowel bekabelde als draadloze netwerken. De SXP-engine vergemakkelijkt de communicatie van SGT's tussen apparaten, waardoor dynamische beleidshandhaving mogelijk is op basis van de beveiligingscontext van een apparaat of gebruiker.
2. Security Group Tags (SGT's): De kern van TrustSec's beleidshandhaving draait om SGT's. Deze tags worden gebruikt om netwerkverkeer te classificeren en het SXP-protocol helpt bij het delen van de toewijzing van deze tags aan specifieke gebruikers of apparaten. Dit zorgt voor een korrelige, beleidsgestuurde controle over netwerktoegang en verkeersstroom.

---

Verificatie en probleemoplossing voor SXP Engine Service in ISE

1. Standaard is de SXP Engine Service uitgeschakeld in ISE. Ga naar ISE GUI > Administration > Deployment (Beheer > Implementatie) en selecteer de node. Schakel het selectievakje SXP-service inschakelen in en kies de interface. Controleer vervolgens de status van de SXP Engine-service via de ISE CLI door de opdracht Toepassingsstatus weergeven uit te voeren.
2. Als er problemen zijn met de netwerkcommunicatie, controleert u of de interface die is toegewezen aan de SXP-engine een geldig IP-adres heeft door de opdracht interface weergeven in de CLI uit te voeren en ervoor te zorgen dat het IP-subnet is toegestaan in het netwerk.
3. Controleer de RADIUS live logs om de SXP-verbindingsevenementen op ISE te verifiëren.
4. Schakel de SXP-component op de ISE-nodes in om relevante logboeken en uitzonderingen met betrekking tot SXP te debuggen en vast te leggen.

---

TC-NAC-service

De TC-NAC-service (TrustSec Network Access Control) is een onderdeel dat de handhaving van TrustSec-beleid op netwerkapparaten vergemakkelijkt, zodat toegangscontrole is gebaseerd op Security Group Tags (SGT's) in plaats van traditionele IP- of MAC-adressen.

TrustSec is op zijn beurt een door Cisco ontwikkeld framework dat handhaving van het beveiligingsbeleid in het hele netwerk mogelijk maakt op basis van apparaatrollen, gebruikers of contexten, in plaats van gebruik te maken van bestaande mechanismen zoals VLAN's of IP-adressen. Het biedt meer gedetailleerde en dynamische netwerktoegangscontrole door apparaten in verschillende beveiligingsgroepen te groeperen en ze te taggen met SGT's.

---

Belangrijkste functies van de TC-NAC-service in ISE

1. Integratie met NAC-systemen van derden: De TC-NAC-service stelt ISE in staat om te communiceren en te communiceren met netwerktoegangscontroleoplossingen van derden. Dit kan handig zijn voor organisaties die een bestaande NAC-infrastructuur hebben, maar die willen integreren met Cisco ISE om de functionaliteit te verbeteren, gebruik te maken van extra beveiligingsbeleid of te profiteren van andere netwerkbeveiligingsfuncties van Cisco.
2. Naadloze beleidshandhaving: wanneer deze wordt geïntegreerd met NAC-oplossingen van derden, kan ISE bepaalde aspecten van beleidshandhaving en besluitvorming overnemen. Dit zorgt voor een meer uniform beleidskader, waardoor het beleid dat wordt toegepast door zowel Cisco- als niet-Cisco NAC-systemen consistent is in het hele netwerk.
3. Ondersteuning voor oudere NAC-systemen: de TC-NAC-service helpt organisaties die oudere NAC-systemen hebben, om deze systemen te blijven gebruiken terwijl ze Cisco ISE gebruiken voor de verbeterde beveiligingsfuncties. ISE kan integreren met oudere NAC-oplossingen en hun levenscyclus verlengen, en tegelijkertijd toegangscontrole, beveiliging en naleving bieden.
4. Communicatie met externe NAC-leveranciers faciliteren: deze service stelt ISE in staat om de communicatie met externe NAC-oplossingen die bedrijfseigen protocollen of standaarden gebruiken, te vergemakkelijken. ISE kan communiceren met NAC-systemen van derden via industriestandaard protocollen (zoals RADIUS, TACACS+ of SNMP) of aangepaste API's, afhankelijk van de NAC-oplossing die wordt gebruikt.

---

TC-NAC-service verifiëren en oplossen in ISE

1. Controleer of Threat Centric NAC is ingeschakeld door te navigeren naar Administration > Deployment > PSN node > Enable Threat Centric NAC.
2. Als het probleem zich voordoet bij de SourceFireAMP-adapter, controleert u of poort 443 is toegestaan in uw netwerk.
3. Controleer de sessiegegevens van het eindpunt van Operations > Threat-Centric NAC Live Logs.

---

Alarmen geactiveerd door Threat Centric NAC:

• Adapter Unreach (syslog-ID: 91002): Geeft aan dat de adapter niet kan worden bereikt.

• Verbinding adapter is mislukt (syslog-ID: 91018): geeft aan dat de adapter bereikbaar is, maar dat de verbinding tussen de adapter en de bronserver is uitgeschakeld.

• Adapter gestopt vanwege een fout (syslog-ID: 91006): Dit alarm wordt geactiveerd als de adapter niet in de gewenste staat verkeert. Controleer de adapterconfiguratie en de serverconnectiviteit als dit alarm wordt weergegeven. Raadpleeg de adapterlogboeken voor meer informatie.

• Adapterfout (syslog-ID: 91009): Geeft aan dat de Qualys-adapter geen verbinding kan maken met of informatie kan downloaden van de Qualys-site.

---

Nuttige debugs om TC-NAC problemen op te lossen:

• VA-runtime (varuntime.log)
• VA-service (varuntime.log en vagregation.log)
• TC-NAC (ise-psc.log)
• ANC (ISE-PSC.log)

---

PassiveID WMI-service

De PassiveID WMI-service is een service waarmee ISE apparaatprofilering kan uitvoeren met behulp van Windows Management Instrumentation (WMI) als een passief mechanisme voor het identificeren en profileren van eindpunten in het netwerk. Het speelt een cruciale rol in apparaatprofilering in omgevingen waar apparaten met Windows OS nauwkeurig moeten worden geïdentificeerd voor netwerktoegangscontrole en beleidshandhaving.    

---

Belangrijkste functies van de PassiveID WMI-service in ISE

1. Device Identity Collection: De PassiveID WMI-service stelt ISE in staat om passief identiteitsgegevens van Windows-apparaten te verzamelen met behulp van Windows Management Instrumentation (WMI). Het verzamelt systeemdetails zoals de hostnaam van het apparaat, de OS-versie en andere relevante kenmerken zonder dat het apparaat actief moet deelnemen.

2. Integratie met het ISE-beleid: De informatie die door de PassiveID WMI-dienst wordt verzameld, is geïntegreerd in het ISE-beleidskader. Het helpt bij de dynamische toepassing van beleid op basis van apparaatkenmerken zoals type, besturingssysteem en naleving van beveiligingsnormen.

---

De passieve ID WMI-service verifiëren en oplossen

Een zeer veilige en nauwkeurige bron, en het meest gebruikelijk om gebruikersinformatie te ontvangen. Als een sonde werkt AD met WMI-technologie om geverifieerde gebruikersidentiteiten te leveren. Bovendien functioneert AD zelf, in plaats van de sonde, als een bronsysteem (een provider), waaruit andere sondes ook gebruikersgegevens ophalen.

---

Nuttige foutopsporingen en informatie die nodig is voor het oplossen van problemen. Stel deze kenmerken in op foutopsporingsniveau voor passieve ID-WMI-problemen:

• Passieve ID (passieve ID*) 
• Runtime-logging (prrt-server.log)
• Active Directory (ad)_agent.log) - Traceringsniveau
• collector (collector.log) (op PassiveID-, MnT-knooppunten en op actieve pxGrid-knooppunten als sessies worden gepubliceerd)
• pxGrid (pxgrid/) (op secundaire MnT- en actieve pxGrid-node als de sessies worden gepubliceerd)

---

Informatie die nodig is voor het oplossen van problemen met PassiveID WMI:

1. Werkte het eerder? Eventuele wijzigingen die onlangs zijn aangebracht (zoals upgrades, patchinstallaties op ISE/upgrades op DC?)
2. Werkt de testverbinding naar behoren (controleer de testverbinding vóór de integratie?)
3. Gegevens over de gebruikersnaam die wordt gebruikt om lid te worden van AD en de gebruikersnaam die wordt gebruikt voor WMI (ongeacht of het een admin- of niet-admin-account is).
4. Controleer of de gebeurtenissen (4768, 4770) in DC zijn vastgelegd (controleer het logboek van de gebeurtenisviewer van DC.)
5. Logboeken vastleggen: Stel het foutopsporingsniveau in voor passieve ID en runtime-logging en voltooi vervolgens de configuratie voor wmi voor DC, AD met trace-niveau met tijdstempel.

---

PassiveID Syslog-service

De PassiveID Syslog Service is een service waarmee de PassiveID-profileringsfunctie syslog-berichten van netwerkapparaten in de omgeving kan verzamelen en verwerken. Deze syslogberichten bevatten belangrijke informatie over de eindpunten die zijn verbonden met het netwerk en ISE gebruikt deze om apparaten te profileren voor netwerktoegangscontrole en beleidshandhaving.    

---

Belangrijkste functies van de Passive ID Syslog Service

1. Passieve verificatie: met de service Passive ID Syslog kan Cisco ISE gebruikers en apparaten passief verifiëren door syslog-berichten te verzamelen van netwerkapparaten (zoals switches of routers) die de activiteit van gebruikers en apparaten aangeven. Dit is handig in situaties waarin traditionele actieve authenticatiemethoden, zoals 802.1X, niet geschikt of haalbaar zijn.

2. Logboekregistratie voor gebeurtenissen: de service Passive ID Syslog vertrouwt op het syslog-protocol om logboeken te ontvangen van netwerkapparaten die de toegang en het gedrag van gebruikers op het netwerk volgen. De informatie in deze logboeken kan zaken omvatten zoals inlogpogingen voor apparaten, toegangspunten en interfacedetails, die ISE helpen het apparaat of de gebruiker passief te identificeren.

---

PassiveID API-service

De PassiveID API Service is een service die integratie mogelijk maakt met systemen die informatie vereisen over de identiteit van apparaten of gebruikers die zijn verbonden met het netwerk. Het wordt meestal gebruikt in omgevingen waar netwerkbeheerders op identiteit gebaseerd beleid en acties willen uitvoeren zonder actieve netwerkverificatieprotocollen zoals 802.1X voor elk apparaat.

---

Belangrijkste functies van de Passive ID API Service

1. De Passive ID API stelt ISE in staat om identiteitsinformatie te ontvangen van systemen of netwerkapparaten van derden (zoals switches, routers, firewalls of elk systeem dat identiteitsgerelateerde gebeurtenissen kan genereren). Deze externe systemen kunnen informatie verzenden zoals syslogberichten, authenticatielogboeken of andere relevante gegevens die ISE kunnen helpen een gebruiker of apparaat passief te identificeren.
2. Passieve authenticatie: De Passieve ID API-service wordt gebruikt om gebruikers en apparaten passief te authenticeren door identiteitsgegevens te verzamelen zonder actieve authenticatie (bijvoorbeeld geen 802.1X-, MAB- of webauthenticatie nodig). Het kan informatie vastleggen van netwerkapparaten, Active Directory-logboeken of beveiligingsapparaten en gebruiken om de gebruiker of het apparaat te identificeren.
3. Mapping Identity Information: De Passive ID API kan worden gebruikt om identiteitsgegevens toe te wijzen aan specifieke beveiligingsbeleid. Deze informatie wordt gebruikt om op dynamische wijze Security Group Tags (SGT's) of rollen toe te wijzen aan gebruikers en apparaten, wat vervolgens de handhaving van netwerktoegangscontroles (zoals segmentatie en firewallbeleid) beïnvloedt.

---

PassiveID Agent-service

De PassiveID Agent-service maakt het mogelijk om apparaten te profileren met behulp van PassiveID-agents die zijn geïnstalleerd op eindpunten (zoals computers, laptops, mobiele apparaten enzovoort). Met de PassiveID Agent kan ISE profileringsinformatie verzamelen over apparaten op het netwerk door te luisteren naar verkeer vanaf eindpunten, zonder actieve scans of directe interacties met de apparaten nodig te hebben. 

---

Belangrijkste functies van de Passive ID Agent Service

1. Passieve identificatie van gebruikers en apparaten: De Passive ID Agent Service is verantwoordelijk voor het passief verzamelen van identiteitsgerelateerde informatie, meestal van netwerkapparaten of eindpunten, en het verzenden van deze gegevens naar ISE. Met deze service kan ISE gebruikers en apparaten verifiëren en identificeren op basis van hun activiteiten of kenmerken, zonder actieve verificatie van het apparaat nodig te hebben (bijvoorbeeld zonder dat 802.1X-referenties worden verstrekt).
2. De Passive ID Agent werkt nauw samen met Cisco-netwerkapparaten, zoals switches, draadloze controllers en toegangspunten om identiteitsgerelateerde informatie te verzamelen uit netwerkverkeer, syslogs of andere beheersystemen. Het kan ook worden geïntegreerd met Cisco TrustSec en Cisco Identity Services om deze gegevens toe te wijzen aan specifieke Security Group Tags (SGT's) of ander identiteitsgebaseerd beleid.
3. Contextuele netwerktoegangscontrole: de passieve ID-agent stuurt deze informatie naar Cisco ISE, die het juiste toegangsbeheerbeleid toepast op basis van de identiteit en context van de gebruiker of het apparaat. Dit kan zijn:

• Rolgebaseerde toegangscontrole
• Dynamische VLAN-toewijzing
• Netwerksegmentatie
• Beveiligingsbeleid afdwingen op basis van de rol van de gebruiker of de beveiligingspositie van het apparaat

---

PassiveID Endpoint Service

De PassiveID Endpoint Service is een service die verantwoordelijk is voor de identificatie en profilering van eindpunten (apparaten) op het netwerk op basis van PassiveID-technologie. Deze service helpt ISE bij het verzamelen, verwerken en classificeren van informatie over apparaten die verbinding maken met het netwerk, zonder dat actieve interactie met de eindpunten zelf vereist is. De PassiveID Endpoint Service speelt een cruciale rol bij profilering, netwerktoegangscontrole en handhaving van het beveiligingsbeleid.

---

Belangrijkste functies van de PassiveID Endpoint Service

1. Passieve identificatie van gebruikers en apparaten: De PassiveID Endpoint Service stelt ISE in staat om apparaten op het netwerk passief te identificeren en te authenticeren, door gebruik te maken van informatie uit netwerkactiviteiten of systeemlogboeken. Dit omvat het identificeren van gebruikers en apparaten op basis van hun netwerkgedrag of kenmerken, zoals MAC-adres, IP-adres of inloggegevens van een externe identiteitswinkel zoals Active Directory (AD).
2. Gegevensverzameling van eindpunten: de eindpuntservice verzamelt verschillende soorten eindpuntspecifieke gegevens uit verschillende bronnen:

• Inloggegevens van gebruikers uit externe identiteitswinkels zoals Active Directory of andere directories.
• Apparaatkenmerken zoals IP-adressen, MAC-adressen en apparaattype (bijvoorbeeld of het apparaat een Windows-pc, mobiele telefoon of IoT-apparaat is).
• Endpoint-netwerkactiviteit zoals DHCP-verzoeken, ARP-verzoeken en andere netwerklaagcommunicatie.

---

PassiveID SPAN-service

De PassiveID SPAN-service maakt gebruik van SPAN (Switched Port Analyzer)-poortmirroring op netwerkapparaten om netwerkverkeer vast te leggen en te analyseren voor endpoint-profilering. Deze service helpt ISE passief informatie te verkrijgen over eindpunten binnen het netwerk door netwerkcommunicatiepatronen te analyseren zonder actieve sondes of agents op apparaten te hoeven installeren.

---

Belangrijkste functies van de PassiveID SPAN-service

1. Passive Identity Collection van SPAN Traffic: Met de PassiveID SPAN-service kan ISE identiteitsgegevens verzamelen op basis van netwerkverkeer dat wordt gespiegeld of gekopieerd via een SPAN-poort op een switch. Een SPAN-poort wordt gebruikt voor netwerkbewaking door het netwerkverkeer van andere poorten of VLAN's te spiegelen. Door dit verkeer vast te leggen, kan ISE passief identiteitsinformatie verzamelen zoals:

• MAC-adressen van apparaten
• IP-adressen gekoppeld aan apparaten
• DHCP-verzoeken of andere identiteitsgerelateerde informatie van vastgelegd verkeer
• Verificatielogs van netwerkapparaten, zoals switches of draadloze controllers

2. Vastleggen van gebruikers- en apparaatidentiteitsinformatie: de SPAN-service luistert naar het verkeer dat door het netwerk gaat en identificeert belangrijke identiteitsinformatie uit de netwerkpakketten zonder dat er rechtstreeks met apparaten hoeft te worden gecommuniceerd. Dit kunnen gegevens zijn zoals:

• Gebruikersidentiteiten bij verificatie via protocollen zoals EAP (Extensible Authentication Protocol)
• Apparaatidentiteiten op basis van MAC-adressen en IP-adressen
• Rollen en gedragingen van apparaten op basis van waargenomen verkeerspatronen en gebeurtenissen

---

Verificatie en probleemoplossing voor PassiveID Stack (PassiveID SPAN Service, PassiveID Syslog Service, PassiveID Endpoint Service, PassiveID Agent, PassiveID API Service)

1. PassiveID-stack is een lijst met providers en alle services en de PassiveID-stack is standaard uitgeschakeld. Blader naar ISE GUI > Beheer > Implementatie > Selecteer het knooppunt > Passieve identiteitsservice inschakelen en klik op Opslaan. Om de status van de PassiveID-stackservice te verifiëren, meldt u zich aan bij de CLI van de ISE-node en voert u de opdracht Toepassingsstatus weergeven uit.
2. Als er problemen zijn met de passieve ID-agent, controleert u of de FQDN van de agent kan worden opgelost vanuit de ISE-node. Om dit uit te voeren, meldt u zich aan bij de ISE CLI en voert u de opdracht nslookup < FQDN of Agent configured > uit.
3. Zorg ervoor dat de ISE-indexeringsengine actief is en dat zowel reverse- als forward DNS-lookups worden opgelost door de DNS- of naamserver die in ISE is geconfigureerd.
4. Zorg ervoor dat UDP-poort 40514 en TCP-poort 11468 open zijn in uw netwerk om een naadloze communicatie met de syslog-providers te garanderen.
5. Als u de SPAN-provider op een node wilt configureren, moet u ervoor zorgen dat de ISE Passive Identity Service is ingeschakeld. Controleer of de interface die u wilt configureren op de SPAN-provider beschikbaar is in ISE door de opdracht show interface uit te voeren vanuit ISE CLI.
6. Om de logs te controleren, op basis van de Passive ID-provider, moet u de passiveid-syslog.log, passiveid-agent.log, passiveid-api.log, passiveid-endpoint.log, passiveid-span.log bekijken. De genoemde logs kunnen worden beveiligd vanuit de supportbundel van ISE-node. 

---

DHCP-server (dhcpd)

De DHCP Server-service (dhcpd) biedt DHCP-functionaliteit (Dynamic Host Configuration Protocol) voor netwerkapparaten. Het wordt voornamelijk gebruikt om IP-adressen toe te wijzen aan apparaten (eindpunten) die proberen verbinding te maken met het netwerk. In ISE speelt de DHCP-server een cruciale rol bij het verstrekken van IP-adressen aan eindpunten die deze vragen bij het verbinden met het netwerk. De service kan ook aanvullende configuratiegegevens bieden, zoals DNS-servers, standaardgateway en andere netwerkinstellingen.

---

Belangrijkste functies van de DHCP Server (dhcpd) Service in ISE

1. Dynamische IP-adrestoewijzing: De dhcpd-service in ISE functioneert als een DHCP-server, die IP-adrestoewijzing biedt voor apparaten die een IP-adres aanvragen bij het verbinden met het netwerk. Dit is belangrijk in scenario's waarin apparaten dynamisch aan het netwerk deelnemen, zoals in BYOD-omgevingen (Bring Your Own Device) of wanneer apparaten zijn geconfigureerd om automatisch IP-adressen te verkrijgen.
2. Profielgebaseerde DHCP: De dhcpd-service kan IP-adressen toewijzen op basis van het profiel van het apparaat. Als ISE het apparaat heeft geprofileerd (smartphone, laptop, IoT-apparaat), kan het een geschikt IP-adres toewijzen of andere instellingen toepassen op basis van het type apparaat of rol.
3. Ondersteuning voor DHCP-relais: ISE kan functioneren als een DHCP-relaisagent en DHCP-verzoeken van apparaten doorsturen naar een externe DHCP-server als ISE de feitelijke IP-adrestoewijzing niet verwerkt. In dit geval kan de dhcpd-service verzoeken van apparaten doorsturen naar een centrale DHCP-server, terwijl ISE het netwerkbeleid en toegangscontroles blijft toepassen.

---

DHCP-server (dhcpd) verifiëren en oplossen

1. Neem contact op met Cisco TAC om te controleren of het DHCP-serverpakket op de ISE is geïnstalleerd.
2. Log in op de hoofdmap van ISE > rpm -qi dhcp. 

---

DNS-server (naam)

Met de DNS Server (named) Service kan ISE functioneren als een DNS-server (Domain Name System) of DNS-resolver. Het is in de eerste plaats verantwoordelijk voor het oplossen van domeinnamen in IP-adressen en vice versa, waardoor de communicatie tussen apparaten in het netwerk wordt vergemakkelijkt.  

---

Belangrijkste functies van de DNS Server (Named)-service in ISE

1. DNS-resolutie voor ISE-communicatie: de genoemde service in ISE helpt bij het oplossen van domeinnamen naar IP-adressen. Dit is belangrijk wanneer ISE verbinding moet maken met andere netwerkapparaten of externe services (zoals Radius-servers, Active Directory of externe NTP-servers) met behulp van domeinnamen in plaats van IP-adressen.

• Wanneer ISE een Radius-server of een externe directoryservice (zoals Active Directory) moet bereiken, moet het de domeinnaam van die server oplossen naar een IP-adres.
• ISE zoekt de DNS-server die op het systeem is geconfigureerd om deze domeinnamen op te lossen, zodat de communicatie soepel verloopt.

2. DNS-resolutie voor externe services: de DNS-service stelt ISE in staat verbinding te maken met externe services waarvoor domeinnamen vereist zijn. ISE moet bijvoorbeeld de namen van externe services oplossen, zoals:

• Cloud-gebaseerde diensten.
• NTP-servers (Network Time Protocol).
• Certificate Authorities (CA's) of LDAP-servers.

3. Multi-domein en redundante DNS-servers: ISE kan worden geconfigureerd om meerdere DNS-servers te gebruiken voor redundantie. Als een DNS-server niet beschikbaar is, kan ISE terugvallen op een andere DNS-server om continue werking en DNS-resolutie te garanderen.

---

Controleren en oplossen van problemen met DNS Server (Named)

1. Controleer vanuit de CLI van de ISE-node de bereikbaarheid van de implementatie naar de genoemde server of DNS-server door de opdracht ping <IP of DNS-server / naamserver> uit te voeren.
2. Controleer de DNS-resolutie van ISE FQDN's door de opdracht nslookup <FQDN / IP-adres van ISE-knooppunten> uit te voeren via ISE CLI.

---

ISE Messaging Service

De ISE Messaging Service is een onderdeel dat asynchrone communicatie tussen verschillende diensten en componenten binnen het ISE-systeem vergemakkelijkt. Het speelt een cruciale rol in de algehele systeemarchitectuur van ISE, waardoor verschillende delen van het platform berichten kunnen verzenden en ontvangen, taken kunnen beheren en activiteiten kunnen synchroniseren.

---

Belangrijkste functies van de ISE Messaging Service

1. Interprocescommunicatie (IPC): De ISE Messaging Service maakt interprocescommunicatie (IPC) tussen verschillende ISE-services mogelijk. Het zorgt ervoor dat verschillende ISE-modules en -diensten, zoals authenticatie, autorisatie en beleidshandhaving, gegevens en instructies op een gecoördineerde manier kunnen uitwisselen.
2. Ondersteuning voor gedistribueerde omgeving: bij grotere of gedistribueerde ISE-implementaties (zoals in configuraties met meerdere knooppunten of hoge beschikbaarheid) helpt de berichtenservice de communicatie tussen de verschillende ISE-knooppunten te vergemakkelijken. Dit zorgt ervoor dat gegevens, zoals verificatieverzoeken, gebruikerssessies en beleidsupdates, correct worden gesynchroniseerd tussen verschillende knooppunten binnen het ISE-systeem.
3. Beleid en configuratiesynchronisatie: De berichtenservice is betrokken bij het synchroniseren van configuraties en beleid tussen ISE-nodes. Wanneer configuratiewijzigingen worden aangebracht in een primaire node, zorgt de service ervoor dat deze wijzigingen worden doorgegeven aan secundaire of back-upnodes in het systeem. Dit is van essentieel belang om de consistentie te handhaven en ervoor te zorgen dat het beleid voor netwerktoegang dat op verschillende locaties of gedistribueerde ISE-knooppunten wordt toegepast, gesynchroniseerd blijft.

---

Controleer of de ISE Messaging Service niet actief is of niet wordt geïnitialiseerd

1. Controleer of poort TCP 8671 niet is geblokkeerd in de firewall. Deze poort wordt gebruikt voor communicatie tussen ISE-apparaten.
2. Verifieer eventuele fouten in de wachtrij en verleng de ISE Messaging- en ISE Root CA-certificaten als er fouten worden gevonden. Fouten in de wachtrijkoppeling kunnen optreden als gevolg van interne problemen met de certificaatbeschadiging. Als u fouten in de wachtrij wilt oplossen, verlengt u het ISE-bericht en de ISE Root CA-certificaten door te verwijzen naar de documentatie ISE - Queue Link Error.
3. Via GUI > Beheer > Certificaten > ISE-berichtencertificaat selecteren. Klik op Weergave om de status van het certificaat te valideren. 
4. U kunt ade.Jog-logboeken gebruiken om problemen met ISE Messaging Services op te lossen, die beschikbaar is in de ondersteuningsbundel of via CLI kan worden getailleerd door het staartcommando van het showlogsysteem ade/ADE.Jog uit te voeren wanneer het probleem zich voordoet. 
5. Als het ADE.Jog-log konijnen: verbindingsfouten weergeeft, neemt u contact op met Cisco TAC om het slot uit de Rabbitma-module van ISE Root te verwijderen. 

---

ISE API Gateway Database Service

De ISE API Gateway Database Service is een onderdeel dat verantwoordelijk is voor het beheer en de verwerking van gegevens met betrekking tot API-verzoeken en antwoorden binnen het ISE-systeem. Het fungeert als een tussenpersoon die de ISE API Gateway verbindt met de ISE-database, waardoor aangepaste toepassingen worden bijgewerkt of gegevens binnen ISE worden gewijzigd. Bijvoorbeeld het aanpassen van het toegangsbeleid of het toevoegen/verwijderen van gebruikers via API-oproepen die door de service worden beheerd.

---

Belangrijkste functies van de ISE API Gateway Database Service

1. API-toegang tot ISE-gegevens: De ISE API Gateway Database Service fungeert als een brug waardoor externe toepassingen kunnen communiceren met de ISE-database via ISE's RESTful API's. Deze API's kunnen worden gebruikt om gegevens op te halen of te wijzigen die zijn opgeslagen in de ISE-database, zoals:

• Gebruikersverificatielogs
• Netwerktoegangsbeleid
• Informatie over hulpmiddelprofilering
• Systeemconfiguratie en -instellingen

2. Externe systeemintegratie mogelijk maken: deze dienst speelt een cruciale rol bij de integratie van ISE met externe systemen zoals:

• Externe verificatieservers (LDAP, Active Directory, RADIUS)
• Netwerkbeheersystemen (NMS)
• SIEM-oplossingen (Security Information and Event Management)
• Aangepaste toepassingen of services die moeten communiceren met ISE-gegevens

Door API-toegang te bieden, stelt de API Gateway Database Service deze externe systemen in staat om ISE-gegevens te bevragen, updates naar ISE te verzenden of specifieke acties binnen ISE te activeren in reactie op externe gebeurtenissen.

3. Ondersteuning van RESTful API-communicatie: ISE legt RESTful API's bloot die zijn ontworpen om te werken via HTTP / HTTPS. De API Gateway Database Service is verantwoordelijk voor het beheer van de stroom van API-verzoeken en -antwoorden, en zorgt ervoor dat verzoeken worden geverifieerd, verwerkt en dat de juiste gegevens uit de ISE-database als reactie worden geretourneerd.

---

ISE API Gateway Service

De ISE API Gateway Service is een essentieel onderdeel dat RESTful API-toegang biedt tot ISE-services, gegevens en functionaliteiten. Het fungeert als een brug tussen ISE en externe systemen, waardoor deze systemen programmatisch kunnen communiceren met ISE-netwerktoegangscontrole, beleidshandhaving, authenticatie en andere diensten. De API-gateway maakt het mogelijk dat toepassingen van derden, netwerkbeheersystemen en aangepaste toepassingen kunnen communiceren met Cisco ISE zonder handmatige tussenkomst of directe toegang tot de ISE-gebruikersinterface.

---

Belangrijkste functies van de ISE API Gateway Service

1. De ISE API Gateway Service maakt het mogelijk dat externe systemen veilig toegang hebben tot en communiceren met Cisco ISE-gegevens en -beleid met behulp van RESTful API's. Dit biedt programmatische toegang tot ISE-functionaliteiten, zoals authenticatie, beleidshandhaving, sessiebeheer en meer.
2. De API Gateway Service maakt programmatische controle over ISE-functies mogelijk. Beheerders en ontwikkelaars kunnen API's gebruiken om:

• Netwerkbeleid ophalen of wijzigen
• Gebruikerssessies en verificatielogs opvragen of beheren
• Regels voor netwerktoegangscontrole maken en beheren
• Apparaatprofielen openen of bijwerken
• Deze besturing kan worden gebruikt voor automatisering of aangepaste workfloworkestratie, zoals het dynamisch aanpassen van het netwerktoegangsbeleid op basis van realtime gegevens of het integreren van ISE in een breder automatiseringsplatform voor beveiliging.

3. Monitoring en rapportage: De API Gateway Service stelt externe systemen in staat gegevens te verzamelen uit operationele ISE-logboeken, sessiegeschiedenis en gegevens over beleidshandhaving. Dit is belangrijk voor:

• Nalevingsrapportage
• Beveiligingscontrole
• Incidentreactie

API-oproepen kunnen worden gebruikt om logs, auditinformatie en gebeurtenissen te verzamelen; waardoor beveiligingsteams ISE-activiteiten kunnen monitoren vanuit een gecentraliseerd dashboard of rapportagetool.

---

ISE API Gateway Service en ISE API Gateway Database Service verifiëren en oplossen

1. Controleer of het beheerderscertificaat van de ISE-node actief en geldig is. Navigeer naar Beheer > Certificaten > Het knooppunt selecteren > Beheercertificaat selecteren. Klik op Weergave om de status van het beheercertificaat van de ISE-node te controleren.
2. Stel ise-api-gateway, api-gateway, apiservice-componenten in om te debuggen en de logs kunnen worden getailleerd door deze opdrachten uit te voeren: 

• Logboekapplicatie ISE-PSC.log Tail weergeven
• Logboekapplicatie API-gateway.log-staart tonen

---

ISE pxGrid Direct-service

De ISE pxGrid Direct Service is een essentieel onderdeel dat de functionaliteit pxGrid (Platform Exchange Grid) in ISE ondersteunt. pxGrid is een Cisco-technologie die het veilig, gestandaardiseerd en schaalbaar delen van gegevens en de integratie tussen Cisco-netwerkbeveiligingsoplossingen en toepassingen, services en apparaten van derden vergemakkelijkt. De ISE pxGrid Direct Service maakt directe communicatie tussen ISE en andere pxGrid-compatibele systemen mogelijk zonder tussenliggende apparaten of services.   

---

Belangrijkste functies van de ISE pxGrid Direct-service

1. Directe integratie met systemen van derden: De ISE pxGrid Direct-service stelt ISE in staat rechtstreeks te integreren met netwerkbeveiligingssystemen van derden, zoals firewalls, routers, NAC-oplossingen, SIEM-platforms en andere beveiligingsapparaten. Hiermee kunnen deze systemen informatie uitwisselen over netwerktoegangsevenementen, beveiligingsincidenten en contextuele netwerkgegevens.
2. Context Sharing: Een van de belangrijkste functies van pxGrid is het delen van contextuele informatie (zoals apparaatidentiteiten, gebruikersrollen, beveiligingspositie en netwerktoegangsinformatie). Met pxGrid Direct Service kan ISE direct context delen met andere apparaten of toepassingen zonder te vertrouwen op traditionele methoden zoals RADIUS of TACACS+.
3. Vereenvoudigde communicatie: door pxGrid te gebruiken, kan ISE communiceren en informatie uitwisselen met oplossingen van derden met behulp van een gestandaardiseerd protocol. Dit vereenvoudigt het integratieproces omdat systemen geen aangepaste integraties nodig hebben voor elke afzonderlijke oplossing van derden.
4. Verbeterde beveiliging en naleving: de pxGrid Direct-service verbetert de beveiligingspositie en naleving door ervoor te zorgen dat alle systemen in het netwerkecosysteem toegang hebben tot realtime, contextuele gegevens over gebruikers, apparaten en beveiligingsbeleid. Dit zorgt voor een gecoördineerde handhaving van het netwerkbeveiligingsbeleid in de hele omgeving.

---

ISEPxgrid Direct-service verifiëren en oplossen

1. Neem contact op met Cisco TAC om te controleren of edda*.lock* aanwezig is in de map /tmp. Zo ja, dan kan Cisco TAC het slot verwijderen en de Pargrid Direct-service opnieuw starten vanaf de root.
2. Stel de component PxGrid Direct in op foutopsporing in de ISE-node voor probleemoplossing. De logs kunnen worden beveiligd via de ISE-ondersteuningsbundel of ISE CLI door deze opdrachten uit te voeren:

• Logboekapplicatie PagridDirect-Service.log weergeven
• Logboekapplicatie PagridDirect-Connector.log weergeven
• Deze logs geven informatie over de eindpuntgegevens die Cisco ISE heeft opgehaald en ontvangen, samen met de connectiviteitsstatus van Pargrid Connector.

---

dienst Segmentatiebeleid

De service Segmentatiebeleid is een belangrijk onderdeel dat verantwoordelijk is voor het afdwingen van netwerksegmentatiebeleid op basis van gebruikersidentiteit, apparaatpositie of andere informatie. Het helpt de toegang van gebruikers/apparaten tot specifieke netwerksegmenten te regelen, zodat alleen geautoriseerde gebruikers of compatibele apparaten toegang hebben tot bepaalde delen van het netwerk. Netwerksegmentatie is essentieel voor het verminderen van aanvallen op het oppervlak van het netwerk, het voorkomen van laterale bewegingen van bedreigingen en het waarborgen van naleving van de regelgeving. De Segmentation Policy Service in ISE wordt gebruikt om deze netwerksegmentatieregels dynamisch af te dwingen en biedt flexibiliteit over het hele netwerk.      

---

Belangrijkste functies van de service Segmentatiebeleid

1. Definiëren van netwerksegmenten: Met de service Segmentatiebeleid in ISE kunnen beheerders verschillende netwerksegmenten (subnetten of VLAN's) definiëren op basis van de kenmerken van gebruikers of apparaten. Voorbeeld:

• Apparaten met verschillende beveiligingsposities kunnen aan verschillende segmenten worden toegewezen (vertrouwde apparaten in het ene VLAN en niet-vertrouwde apparaten in een ander VLAN).
• Gebruikers van verschillende afdelingen of rollen kunnen worden toegewezen aan verschillende netwerksegmenten om de minste privileges af te dwingen en de toegang tot gevoelige bronnen te beperken.

2. Dynamische segmentatie: deze service maakt dynamische netwerksegmentatie mogelijk, waardoor netwerksegmenten of VLAN's kunnen veranderen op basis van realtime omstandigheden. Voorbeeld:

• Een gebruiker kan worden toegewezen aan een specifiek VLAN op basis van zijn rol of de status van de apparaatstatus.
• Een apparaat dat als niet-conform wordt beschouwd of een verouderd besturingssysteem uitvoert, kan worden verplaatst naar een quarantaine of een gastnetwerk totdat het is verholpen.

3. Beleidsgebaseerde handhaving: de Segmentatiebeleidsservice gebruikt beleid om te bepalen in welk segment een apparaat of gebruiker moet worden geplaatst. Er zijn verschillende factoren waarmee dit beleid rekening houdt, zoals:

• Gebruikersidentiteit: op basis van de gebruikersrol of -attributen.
• Apparaathouding: de status van het apparaat (het apparaat waarop de nieuwste antivirussoftware wordt uitgevoerd).
• Locatie: de fysieke locatie van de gebruiker of het apparaat op het netwerk (kantoor, gastengedeelte, externe toegang).
• Tijdstip van toegang: tijdstip van de dag, dag of week waarop het verzoek om toegang wordt gedaan. 

4. Handhaving van het beveiligingsbeleid: het segmentatiebeleid zorgt ervoor dat het beveiligingsbeleid consistent wordt gehandhaafd op alle netwerkapparaten (zoals switches, routers, firewalls, enzovoort) door gebruik te maken van industriestandaarden zoals RADIUS en VLAN-toewijzing. Hierdoor kan Cisco ISE communiceren met netwerkinfrastructuurapparaten om het vereiste segmentatiebeleid af te dwingen.

---

 De service Segmentatiebeleid controleren en oplossen

1. Controleer of de segmentatie correct is geconfigureerd door naar Work Centers > TrustSec > Overview > Dashboard te gaan.
2. Ga vervolgens naar, Work Centers > TrustSec > Reports en selecteer TrustSec Reports om de servicestatus en rapporten van het segmentatiebeleid te verifiëren. 

---

REST Auth-service

De REST Auth-service biedt authenticatiemogelijkheden met behulp van RESTful API's. Het stelt externe toepassingen en systemen in staat om gebruikers of apparaten te verifiëren door interactie met ISE via HTTP(S) met behulp van standaard REST-protocollen. Deze service maakt een naadloze integratie van de Cisco ISE-verificatiefunctie mogelijk met toepassingen of systemen van derden die gebruikers of apparaten moeten verifiëren, maar niet de traditionele methoden (zoals RADIUS of TACACS+) kunnen gebruiken.

---

Belangrijkste functies van de REST Auth Service

1. RESTful Authentication: De REST Auth Service maakt authenticatieverzoeken via het REST API-protocol mogelijk. Hierdoor kunnen externe systemen (toepassingen, netwerkapparaten van derden of services) gebruikers of apparaten verifiëren met ISE als verificatieserver, maar via RESTful-webserviceoproepen in plaats van traditionele verificatieprotocollen zoals RADIUS of TACACS+.
2. Integratie met externe toepassingen: deze service is ontworpen voor externe toepassingen die gebruikers of apparaten moeten verifiëren, maar geen traditionele verificatiemethoden gebruiken (zoals RADIUS of TACACS+). In plaats daarvan kunnen ze communiceren met ISE via REST API's, wat eenvoudiger is om ISE-verificatie te integreren in webgebaseerde of cloud-native applicaties.
3. Flexibele en schaalbare verificatie: de REST Auth-service biedt een schaalbare verificatiemethode die niet beperkt is tot netwerkapparaten of on-premise oplossingen. Het kan worden gebruikt door cloudservices, mobiele apps en andere webgebaseerde platforms die gebruikers / apparaten moeten verifiëren door ISE te vragen naar referenties en beleid. 
4. Gemakkelijk toe te passen: De REST API biedt een gestandaardiseerde interface, die gemakkelijker toe te passen en te integreren is met moderne software en toepassingen in vergelijking met traditionele methoden. Het biedt JSON-geformatteerde antwoorden en maakt gebruik van HTTP-methoden zoals GET, POST, PUT en DELETE, wat toegankelijker is voor webontwikkelaars en systemen die ISE voor verificatie integreren.

---

Verificatie en probleemoplossing voor Rest Auth

1. Als u problemen met Open API-gerelateerde problemen wilt oplossen, stelt u de component apiservice in op foutopsporing.
2. Als u problemen met de ERS API wilt oplossen, stelt u de ERS-component in op foutopsporing.
3. Als de API-service GUI-pagina: https://{iseip}:{port}/api/swagger-ui/index.html of https://{iseip}:9060/ers/sdk toegankelijk is, wordt geconcludeerd dat de API-service werkt zoals verwacht.

---

Raadpleeg de API-documentatie voor meer informatie over Cisco API's.

---

SSE-connector

De SSE Connector (Secure Software-Defined Edge Connector) integreert ISE met de Cisco Secure Software-Defined Access (SD-Access)-oplossing. Met de SSE-connector kan ISE veilig communiceren met het Cisco DNA Center, waardoor geautomatiseerd netwerkbeleid, segmentatie en edge security management in een SD-Access-omgeving mogelijk zijn.

---

Belangrijkste functies van de SSE-connector

1. Integratie met externe beveiligingssystemen: de SSE-connector vergemakkelijkt de integratie van Cisco ISE met externe beveiligingssystemen zoals firewalls, inbraakpreventiesystemen (IPS), netwerktoegangscontrole (NAC)-oplossingen en beveiligingsinformatie- en gebeurtenisbeheersystemen (SIEM). Hiermee kunnen deze externe systemen op een veilige manier gegevens van ISE verzenden/ontvangen, die kunnen worden gebruikt voor een dynamischer handhaving van het beleid.
2. Real-Time Threat Intelligence: Door ISE te verbinden met andere beveiligingssystemen, maakt de SSE Connector de uitwisseling van real-time threat intelligence mogelijk. Deze informatie kan verdachte activiteiten, gecompromitteerde eindpunten of kwaadaardig gedrag omvatten dat door andere beveiligingssystemen is gedetecteerd, waardoor ISE het toegangsbeleid dynamisch kan aanpassen op basis van de huidige dreigingsniveaus of apparaatstatus.
3. Geautomatiseerde probleemoplossing: de integratie die door de SSE-connector is ingeschakeld, kan geautomatiseerde probleemoplossingsworkflows ondersteunen. Als een systeem bijvoorbeeld wordt gemarkeerd als gecompromitteerd door een extern beveiligingsapparaat, kan ISE automatisch beleid afdwingen dat netwerktoegang blokkeert of het eindpunt omleiden naar een herstelnetwerksegment voor verder onderzoek.

---

SSE-connector verifiëren en oplossen

1. De SSE-connector is alleen ingeschakeld wanneer de PassiveID-service is ingeschakeld in ISE. 
2. De component sse-connector (connector.log) in debug biedt meer informatie over berichten met betrekking tot SSE-connector. 

---

Hermes (pxGrid Cloud Agent)

Hermes (pxGrid Cloud Agent) faciliteert de integratie tussen ISE en het pxGrid (Platform Exchange Grid) ecosysteem in een cloudomgeving. Hermes is de cloudgebaseerde agent die wordt gebruikt om communicatie tussen ISE en cloudgebaseerde services of platforms mogelijk te maken. Het ondersteunt het pxGrid-framework bij het delen van contextuele informatie over verschillende netwerk- en beveiligingssystemen.  

---

Belangrijkste kenmerken en functies van Hermes (pxGrid Cloud Agent)

1. Cloud-to-On-Premises Integration: Hermes (pxGrid Cloud Agent) is ontworpen voor naadloze integratie tussen cloudgebaseerde services en ISE-infrastructuur op locatie. Het breidt de kracht van pxGrid verder uit dan traditionele on-prem netwerkomgevingen, waardoor veilige gegevensuitwisseling en beleidshandhaving mogelijk is voor cloudgebaseerde toepassingen en services.
2. pxGrid Ecosystem Support: pxGrid is een Cisco-platform voor het veilig delen van informatie over netwerkbeveiligingsoplossingen. Hermes fungeert als de cloudagent voor pxGrid, waardoor veilige, real-time communicatie tussen ISE en verschillende cloudgebaseerde services mogelijk wordt. Deze integratie maakt consistent netwerkbeveiligingsbeleid mogelijk in zowel on-prem- als cloudomgevingen voor eenvoudig beheer en om beveiliging af te dwingen.
3. Cloud-Based Endpoint Visibility: Een belangrijk voordeel van Hermes is de zichtbaarheid in cloud-gebaseerde eindpunten, vergelijkbaar met hoe ISE zichtbaarheid biedt met on-prem eindpunten. Het kan gegevens verzamelen over apparaten en gebruikers in de cloud, zoals nalevingspositie, beveiligingsstatus en identiteitsinformatie. Dit stelt ISE in staat om netwerktoegangsbeleid af te dwingen op cloud-eindpunten zoals on-premises apparaten.
4. Naadloze uitbreiding van ISE naar cloudomgevingen: een belangrijk voordeel van Hermes is dat het een naadloze brug vormt tussen de ISE-on-premise-omgeving en het groeiende aantal cloud-native applicaties. Dit is gemakkelijker om ISE-beveiligingsbeleid, authenticatiemethoden en toegangscontroles uit te breiden naar cloudservices zonder een volledige revisie van de bestaande infrastructuur te vereisen.

---

Hermes (Pargrid Cloud Agent) verifiëren en problemen oplossen

1. Standaard is de Hermes-service uitgeschakeld, waardoor ISE wordt verbonden met de Cisco PxGrid terwijl de cloudservice is ingeschakeld met Hermes. Als de Hermes-service is uitgeschakeld in ISE, controleert u of de optie Pargrid Cloud is ingeschakeld via ISE GUI > Beheer > Implementatie, selecteert u ISE-knooppunt. Klik op Bewerken en schakel Pargrid Cloud in.

2. Nuttige foutopsporingen voor het oplossen van problemen met betrekking tot de Pargrid-cloud zijn hermes.log en pxcloud.log. Deze foutmeldingen zijn alleen beschikbaar op de Pargrid-node waar de Pargrid Cloud is ingeschakeld. 

---

McTrust (Meraki Sync Service)

McTrust (Meraki Sync Service) maakt integratie mogelijk tussen Cisco ISE en Cisco Meraki-systemen voor het synchroniseren en beheren van netwerkapparaten en toegangsbeleid. De McTrust-service fungeert als een connector die gebruikers- en apparaatinformatie synchroniseert tussen Meraki's cloud-beheerde netwerkinfrastructuur en ISE on-premises identiteits- en beleidsbeheersystemen.   

---

Belangrijkste kenmerken en functies van McTrust (Meraki Sync Service)

1. Naadloze integratie met Meraki-apparaten: McTrust stelt ISE in staat om te synchroniseren en te integreren met Meraki's cloud-beheerde apparaten. Dit omvat apparaten zoals Meraki-toegangspunten, switches en beveiligingsapparaten die deel uitmaken van het portfolio van Meraki. Hiermee kan ISE rechtstreeks communiceren met de infrastructuur van Meraki, waardoor het gemakkelijker wordt om het beleid voor netwerktoegangscontrole toe te passen op door Meraki beheerde apparaten.
2. Automatische apparaatsynchronisatie: De Meraki Sync Service synchroniseert automatisch het ISE-beleid met Meraki-netwerkapparaten. Eventuele wijzigingen in het beleid voor netwerktoegangscontrole in ISE worden automatisch weergegeven in Meraki-apparaten, zonder handmatige tussenkomst. Hierdoor kunnen beheerders eenvoudig netwerktoegang beheren op zowel Meraki- als ISE-platforms. 
3. Beleidshandhaving voor Meraki-Managed Devices: McTrust stelt ISE in staat om netwerktoegangsbeleid af te dwingen op Meraki-apparaten op basis van verificatie en apparaathouding. Het wijst dynamisch beleid toe aan Meraki-netwerkelementen, zoals het aanpassen van VLAN-toewijzingen, het toepassen van toegangscontrolelijsten (ACL's) of het beperken van de toegang tot bepaalde netwerkbronnen, afhankelijk van de beveiligingshouding van het apparaat of de gebruiker die toegang aanvraagt.
4. Meraki Dashboard Integration: McTrust integreert ISE rechtstreeks met het Meraki Dashboard en biedt een uniforme beheerinterface. Met deze integratie kunnen beheerders het netwerkbeleid en de toegangscontroleregels voor zowel Meraki-apparaten als ISE-beheerde bronnen bekijken en beheren, allemaal binnen de Meraki cloud-beheerde interface.

---

McTrust verifiëren en oplossen (Meraki Sync Service)

1. Log in bij ISE GUI > Work Centers > TrustSec > Integrations > Sync Status. Controleer eventuele problemen/fouten die zijn gevonden.
2. Zorg ervoor dat alle beheerderscertificaten met ISE-nodes actief en geldig zijn.
3. Nuttige probleemoplossing voor debugs met de Meraki Sync Service is meraki-connector.log.

---

ISE Node Exporter

De ISE Node Exporter is een component die wordt gebruikt voor het bewaken en verzamelen van prestatiemetingen met het ISE-systeem, van de ISE-knooppunten (of het nu gaat om beheerknooppunten, monitoringsknooppunten of beleidsknooppunten voor services).

---

Belangrijkste kenmerken en functies van ISE Node Exporter

1. Exporteren van statistieken: De ISE Node Exporter biedt verschillende prestatiegerelateerde statistieken, zoals CPU-gebruik, geheugengebruik, schijfgebruik, netwerkstatistieken, systeembelasting en andere statistieken op besturingssysteemniveau. Deze statistieken worden gebruikt voor het bewaken van de gezondheid en prestaties van de ISE-node en kunnen worden gevisualiseerd in een monitoringdashboard zoals Grafana.
2. Systeemgezondheidsmonitoring: door de prestatiegegevens naar Prometheus te exporteren, maakt de ISE Node Exporter continue monitoring van de gezondheids- en operationele status van de ISE-node mogelijk. Beheerders kunnen waarschuwingen maken op basis van vooraf gedefinieerde drempelwaarden om melding te maken van prestatiedegradatie of systeemproblemen.
3. Prometheus-integratie: De ISE Node Exporter wordt meestal gebruikt in combinatie met Prometheus, een open-source monitoring- en waarschuwingstoolkit die is ontworpen voor betrouwbaarheid en schaalbaarheid. De Node Exporter legt systeemniveau metrics bloot die door Prometheus kunnen worden geschraapt om tijdreeksgegevens te verzamelen en op te slaan.

---

ISE Prometheus Service

De ISE Prometheus Service integreert Prometheus met ISE om monitoring mogelijk te maken en verzamelt prestatiegegevens van ISE. Prometheus is een open-source monitoring- en waarschuwingsgereedschapskist die wordt gebruikt om tijdreeksgegevens te verzamelen, op te slaan en te analyseren, en de ISE Prometheus-service stelt ISE in staat om haar interne statistieken aan Prometheus bloot te stellen voor monitoringdoeleinden.

---

Belangrijkste kenmerken en functies van ISE Prometheus Service

1. Metrics Collection for Monitoring: De ISE Prometheus Service is ontworpen om verschillende operationele en prestatiemetingen met betrekking tot ISE te exporteren. Deze statistieken omvatten doorgaans, maar zijn niet beperkt tot, CPU-gebruik en systeembelasting, geheugengebruik, schijfgebruik en I/O-prestaties, netwerkstatistieken, statistieken over verificatieverzoeken, statistieken over beleidshandhaving, gegevens over de systeemstatus en uptime
2. Prometheus-integratie: Prometheus stelt ISE in staat om gegevens bloot te leggen in een formaat dat compatibel is met Prometheus, dat gegevens met regelmatige tussenpozen schraapt. Prometheus slaat gegevens op in een tijdreeksdatabase, die trends en historische prestaties van het ISE-systeem bijhoudt.
3. Visualisatie en rapportage met Grafana: De Prometheus Service in ISE integreert naadloos met Grafana, een populaire open-source visualisatietool. Na het exporteren van de statistieken naar Prometheus kunnen beheerders Grafana-dashboards gebruiken om de gegevens in realtime te visualiseren. Hierdoor kunnen knelpunten in de prestaties, systeemtrends en mogelijke problemen bij de implementatie van ISE eenvoudig worden geïdentificeerd.

---

ISE Grafana Service

ISE Grafana biedt maatstaven voor systeemprestaties en is een open-source platform voor monitoring en datavisualisatie. Het integreert met Prometheus om real-time en historische gegevens die zijn verzameld van ISE weer te geven, waardoor beheerders interactieve dashboards kunnen maken die inzicht bieden in de gezondheid, prestaties en het gebruik van het ISE-systeem. 

---

Belangrijkste kenmerken en functies van ISE Grafana Service

1. Aanpasbare dashboards: Grafana is zeer aanpasbaar, waardoor beheerders dashboards kunnen maken en wijzigen op basis van hun monitoringbehoeften. Aangepaste query's kunnen worden gemaakt om specifieke gegevenspunten uit Prometheus te extraheren en die query's kunnen worden gevisualiseerd in verschillende indelingen zoals grafieken, tabellen, heatmaps en meer.
2. Gecentraliseerde bewaking voor gedistribueerde ISE-implementaties: voor gedistribueerde ISE-implementaties waarbij meerdere ISE-nodes op verschillende locaties worden geïmplementeerd, biedt Grafana een gecentraliseerd overzicht van alle systeemstatistieken die van elke node zijn verzameld. Hiermee kunnen beheerders de prestaties van de volledige ISE-implementatie vanaf één locatie bewaken.
3. Historische gegevens en trendanalyse: met de gegevens die zijn opgeslagen in Prometheus, maakt Grafana historische analyse van systeemstatistieken mogelijk, waardoor beheerders trends in de loop van de tijd kunnen volgen. Beheerders kunnen bijvoorbeeld controleren hoe het CPU-gebruik de afgelopen maand is veranderd of hoe de succespercentages van de verificatie zijn fluctueerd. Deze historische gegevens zijn waardevol voor capaciteitsplanning, trendanalyse en het identificeren van langetermijnproblemen.

---

ISE Grafana Service, ISE Prometheus Service, ISE Node Exporter verifiëren en problemen oplossen

• ISE Grafana Service, ISE Prometheus Service en ISE Node Exporter service werken samen en worden Grafana Stack Services genoemd. Er zijn geen specifieke foutmeldingen om probleemoplossing voor deze services mogelijk te maken. Deze commando's helpen echter bij het oplossen van problemen.

---

• Logboekapplicatie weergeven ise-prometheus/prometheus.log
• Logboekapplicatie weergeven ise-node-exporter/node-exporter.log
• Logboekapplicatie weergeven ise-grafana/grafana.log

ISE MNT LogAnalytics Elasticsearch

De ISE MNT LogAnalytics Elasticsearch is een component die Elasticsearch integreert met de mogelijkheden van ISE Monitoring and Troubleshooting (MNT). Het wordt gebruikt voor logaggregatie, zoeken en analyses met betrekking tot ISE-logboeken en -gebeurtenissen. Elasticsearch is een veelgebruikte, gedistribueerde zoek- en analyseengine, en wanneer geïntegreerd met ISE, verbetert het het systeem om loggegevens die door ISE-componenten zijn gegenereerd op te slaan, te analyseren en te visualiseren.

---

Belangrijkste kenmerken en functies van ISE MNT LogAnalytics Elasticsearch

1. Logopslag en indexering: De Elasticsearch-service in ISE is verantwoordelijk voor het opslaan en indexeren van de loggegevens die door ISE worden gegenereerd. Elasticsearch is een gedistribueerde search & analytics engine. Hiermee kunnen ISE-logs worden opgeslagen die snel zoeken, opvragen en ophalen van specifieke gebeurtenissen, fouten of systeemactiviteiten mogelijk maken.
2. Integratie met Log Analytics: ISE MNT LogAnalytics Elasticsearch werkt samen met Log Analytics om een uitgebreide logboekoplossing te bieden. Het stelt ISE in staat om loggegevens te verzamelen met betrekking tot authenticatie, beleidshandhaving, systeembewerkingen en andere activiteiten. Deze gegevens worden opgeslagen in Elasticsearch, dat gedetailleerde analyses en inzichten biedt in het gedrag van ISE.
3. Gecentraliseerde logboekregistratie: door integratie met Elasticsearch biedt ISE een gecentraliseerde logboekoplossing, die van cruciaal belang is voor omgevingen die gedistribueerde logboekverzameling vereisen. Hiermee kunnen beheerders logs van meerdere ISE-nodes in één enkele, uniforme interface bekijken en analyseren, voor eenvoudige probleemoplossing en bewaking van ISE-prestaties.
4. Loganalyse en probleemoplossing: de ISE MNT LogAnalytics Elasticsearch-service helpt beheerders systeemgedrag te analyseren en problemen op te lossen voor eenvoudige toegang tot logboekgegevens. Als er een plotselinge piek is in verificatiefouten of een onverwachte systeemstoring, maakt Elasticsearch het mogelijk om loggegevens snel te bevragen om de onderliggende oorzaak te identificeren.

---

ISE M&T LogAnalytics Elasticsearch verifiëren en oplossen

1. Het uitschakelen en opnieuw inschakelen van de loganalyseservice in ISE moet helpen. Navigeer naar Bewerkingen > Systeem 360 > Instellingen > Loganalyses (uitschakelen en inschakelen met de schakeloptie).
2. Herstart de M&T LogAnalytics van ISE Root lost dit probleem op. Neem contact op met Cisco TAC om deze actie te voltooien. 

Bekende gebreken: Cisco bug ID ·66198

---

ISE Logstash-service

De ISE Logstash Service integreert Logstash, een open-source gegevensverwerkingspijplijn met ISE om logs te verzamelen, te transformeren en door te sturen. Het verwerkt ISE-logs in een gestructureerd formaat en stuurt ze naar gecentraliseerde logboeksystemen voor analyse, opslag en monitoring.

---

Belangrijkste kenmerken en functies van de ISE Logstash Service

1. Logverzameling en doorsturen: ISE Logstash Service verzamelt loggegevens van verschillende ISE-componenten (zoals verificatielogboeken, systeemlogboeken, logboeken voor beleidshandhaving, enzovoort) en stuurt deze door naar een centrale locatie (meestal Elasticsearch of een ander logbeheersysteem) voor opslag en analyse.
2. Log Parsing: Logstash kan verzamelde logs ontleden in gestructureerde formaten. Het verwerkt onbewerkte loggegevens en extraheert zinvolle informatie, waardoor logboekvermeldingen worden getransformeerd in een formaat dat gemakkelijker kan worden opgevraagd en geanalyseerd. Dit kan betrekking hebben op het filteren, parsen en verrijken van gegevens voordat deze worden doorgestuurd naar Elasticsearch of andere systemen.

---

ISE Logstash Service verifiëren en oplossen

1. Geen specifieke debugs om in te schakelen. Het uitvoeren van de opdracht show logging application ise-logstash/logstash.log geeft echter inzicht in de status van de service. 
2. Het uitschakelen en opnieuw inschakelen van de loganalyseservice in ISE kan helpen. Navigeer naar Bewerkingen > Systeem 360 > Instellingen > Logboekanalyse (uitschakelen en opnieuw inschakelen met de schakeloptie). 

Bekende defecten gerelateerd aan Logstash:

• Cisco bug ID ·74832
• Cisco bug ID ·58596

---

ISE Kibana Service

ISE Kibana Service is een open-source data visualisatie tool met ISE logging en monitoring. Kibana werkt samen met Elasticsearch, dat loggegevens opslaat en indexeert en een krachtig platform is voor het visualiseren, zoeken en analyseren van ISE-logs en prestatiemetingen. 

---

Belangrijkste kenmerken en functies van de ISE Kibana Service

1. ISE Kibana stelt beheerders in staat om visuele representaties te maken van logboekgegevens die zijn verzameld bij ISE. Dit kan zijn:

• Grafieken, grafieken en tabellen voor trends in authenticatie, beleidshandhaving, gebruikersactiviteit en systeemgezondheid.
• Cirkeldiagrammen, lijngrafieken en staafdiagrammen om specifieke statistieken bij te houden, zoals het aantal mislukte aanmeldingen, de duur van de sessie of fouten in de tijd.

---

ISE Kibana Service verifiëren en oplossen

1. Als de ISE Kibana-service niet actief is, schakelt u de logboekanalyse in ISE uit en schakelt u deze opnieuw in. Navigeer vervolgens naar Bewerkingen > Systeem 360 > Instellingen, Logboekanalyse (uitschakelen en opnieuw inschakelen met behulp van de schakeloptie).
2. In veel scenario's kan er een dubbele vermelding in de map /etc/hosts zijn, wat een probleem kan veroorzaken. Neem contact op met TAC om de dubbele vermelding te verwijderen. 

Bekende gebreken in verband met de Kibana-kwestie:

• Cisco bug ID ·78050
• Cisco bug ID ·59848

ISE Native IPSec-service

De ISE Native IPSec Service verwijst naar de ingebouwde ondersteuning voor IPSec (Internet Protocol Security), die veilige communicatie tussen ISE-nodes of tussen ISE en andere netwerkapparaten biedt. IPSec is een reeks protocollen die worden gebruikt om netwerkcommunicatie te beveiligen door elk IP-pakket in een communicatiesessie te verifiëren en te coderen. De Native IPSec-service maakt deel uit van het bredere kader voor beveiliging en netwerktoegangsbeheer. Het biedt mogelijkheden om IPsec VPN-verbindingen te beheren en te beheren, waardoor de gegevens die worden verzonden tussen het ISE-systeem en externe eindpunten veilig zijn. Dit kan gaan om interacties met clientapparaten, netwerktoegangsapparaten (zoals routers of firewalls) of andere ISE-knooppunten, waar IPsec-codering en tunneling nodig zijn voor het beveiligen van gevoelige informatie.

---

Belangrijkste kenmerken en functies van de ISE Native IPSec Service

1. Veilige communicatie via IPsec: De belangrijkste functie van de ISE Native IPSec Service is het onderhouden en beveiligen van communicatiekanalen met behulp van IPSec. Dit omvat het gebruik van encryptie- en authenticatiemechanismen om gegevensoverdrachten tussen ISE en andere apparaten te garanderen om te beschermen tegen onderschepping, sabotage en ongeoorloofde toegang. 
2. IPSec VPN-connectiviteit: De ISE Native IPSec-service helpt VPN-verbindingen te vergemakkelijken die het IPSec-protocol gebruiken om een veilige, gecodeerde tunnel voor gegevensoverdracht te bieden. Dit is handig voor externe werknemers, filialen of andere locaties om veilig toegang te krijgen tot ISE-omgevingen via niet-vertrouwde netwerken zoals traditionele internettoegang.
3. Ondersteuning voor Remote Access VPN: De Native IPSec Service kan worden betrokken bij VPN-configuraties voor externe toegang, waarbij gebruikers of apparaten die zich elders bevinden (zoals externe werknemers of filialen) veilig verbinding maken met het ISE-systeem via IPsec-tunnels. Deze service zorgt ervoor dat al het externe toegangsverkeer wordt gecodeerd en geverifieerd voordat het de ISE-omgeving bereikt.
4. IPsec VPN-clientcompatibiliteit: ISE Native IPSec-service zorgt voor compatibiliteit met IPsec VPN-clients. Het ondersteunt algemene clientconfiguraties, waardoor apparaten veilig verbinding kunnen maken met het netwerk zonder gevoelige gegevens bloot te stellen aan risico's.

---

Native IPSec-service verifiëren en oplossen

1. Er zijn geen specifieke foutopsporingen voor de Native IPSec-service. Verifieer de logs waarop de show logging applicatie strongswan/charon.log tail command wordt uitgevoerd via ISE CLI.
2. Als er een probleem wordt waargenomen voor de tunnel, controleert u de status van de tunnelinstelling via GUI > Beheer > Systeem > Instellingen > Protocollen > IPSec > Native IPSec.

---

MFC-profiler

De MFC Profiler is een gespecialiseerd onderdeel dat wordt gebruikt voor het profileren van netwerkapparaten en eindpunten. Profilering is een belangrijk onderdeel van de netwerktoegangscontrole, omdat het ISE in staat stelt apparaten op het netwerk te identificeren, ze te classificeren en het juiste netwerkbeleid toe te passen op basis van het type apparaat en gedrag.                       

---

Belangrijkste kenmerken en functies van de MFC Profiler Service in ISE

1. Verkeersprofilering: De MFC Profiler-service in ISE verzamelt en profileert verkeersgegevens. Het controleert hoe eindpunten zich gedragen op het netwerk, inclusief de soorten toepassingen die worden gebruikt, de services waartoe toegang wordt verkregen en de verkeerspatronen die worden weergegeven door apparaten. Deze gegevens helpen bij het opstellen van een profiel voor elk eindpunt.
2. Endpoint Profiling: Met de MFC Profiler-service kan ISE eindpunten identificeren en categoriseren op basis van hun gedrag. Het detecteert of een eindpunt een printer, computer of mobiel apparaat is op basis van verkeerspatronen. Dit kan helpen bij het afdwingen van specifiek beleid voor verschillende soorten apparaten, het verbeteren van de beveiliging en de operationele efficiëntie.

---

MFC Profiler Service verifiëren en oplossen

1. Navigeer naar ISE GUI > Beheer > Profilering > MFC-profilering en AI-regels. Controleer of de service is ingeschakeld.
2. Als de service is ingeschakeld, maar wordt weergegeven als uitgeschakeld/niet actief via de opdracht Toepassingsstatus weergeven in ISE CLI. Schakel de MFC-profileringsservice in ISE uit en schakel deze opnieuw in door naar de vorige stap te verwijzen.
3. Nuttige stappen voor het oplossen van problemen bij het debuggen, raadpleeg de MFC Profiler component in de debug. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of de staart van de logs door de show logging applicatie ise-pi-profiler.log tail commando uit te voeren via ISE CLI.

Bekend defect voor MFC-profiler die wordt weergegeven als niet actief in plaats van een uitgeschakelde status:

• Cisco bug ID ·72853

---

Diensten opgenomen in ISE 3.4

MFA (Duo Sync Service) 

In Cisco Identity Services Engine (ISE) 3.4 maakt de Duo Sync-service een naadloze integratie van Duo Multi-Factor Authentication (MFA) mogelijk zonder een externe Duo Authentication Proxy. Deze native integratie verbetert de beveiliging voor VPN- en TACACS+-verificatieworkflows. 

---

Belangrijkste kenmerken en functies van MFA (Duo Sync Service) in ISE

1. Native Duo Integration (geen Duo Proxy vereist): Cisco ISE 3.4 ondersteunt directe integratie met Duo, zonder een afzonderlijke Duo Authentication Proxy te implementeren en te beheren. Dit vereenvoudigt de implementatie en vermindert de complexiteit van de infrastructuur. 
2. Identiteitssynchronisatie met Duo: ISE 3.4 bevat een Duo Sync-service die geautomatiseerde gebruikerssynchronisatie van Active Directory naar Duo mogelijk maakt en die niet handmatig gebruikers aan Duo-synchronisatie hoeft toe te voegen, omdat deze via ISE wordt afgehandeld.

---

MFA verifiëren en oplossen (Duo Sync Service)

1. Standaard is de MFA Duo Sync-service uitgeschakeld. Als u deze service wilt inschakelen, gaat u naar Beheer > Identiteitsbeheer > Instellingen > Broninstellingen voor externe identiteit > MFA in- en uitschakelen.
2. Als de service is ingeschakeld, maar wordt weergegeven als uitgeschakeld/niet actief via de opdracht Toepassingsstatus weergeven in ISE CLI. Schakel de MFA Duo Sync-service in ISE uit en schakel deze opnieuw in door naar de vorige stap te verwijzen.
3. Handige stappen voor het oplossen van problemen bij foutopsporing, voer de ise-duo-opdrachtcomponent uit in foutopsporing. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of de staart van de logs door de show logging applicatie ise-duo.log tail command uit te voeren via ISE CLI.

---

Acicon (ACI Connection Service)

De ACIconn (ACI Connector) Service is verantwoordelijk voor de integratie van Cisco ISE met Cisco Application Centric Infrastructure (ACI). Deze integratie stelt ISE in staat om endpoint-identiteit en houdingsinformatie dynamisch te delen met Cisco ACI voor software-gedefinieerde segmentatie en beleidshandhaving.

---

Belangrijkste kenmerken en functies van Action Service in ISE

1. Context delen met ACI: ACIconn deelt gebruikersidentiteit, verificatiestatus, houding en sessiegegevens met Cisco APIC. Het maakt contextbewuste microsegmentatie en beleidsbeslissingen mogelijk op basis van ISE-gegevens.
2. Dynamic Endpoint-to-EPG Mapping: hiermee worden gebruikers/apparaten die in ISE zijn geverifieerd, automatisch toegewezen aan Endpoint Groups (EPG's) in Cisco ACI. Maakt identiteitsgebaseerde segmentatie in uw datacenter mogelijk.
3. Bi-directionele communicatie: ISE kan updates naar ACI verzenden en ACI kan ISE vragen naar eindpuntstatussen, waardoor realtime toegangscontrole en segmentatiewijzigingen mogelijk zijn.

---

Actie verifiëren en oplossen 

1. Standaard is de Acion-service uitgeschakeld. Als u deze service wilt inschakelen, gaat u naar Workcenters > TrustSec > Instellingen -> ACI-instellingen > ACI-integratie inschakelen en vult u de vereiste gegevens in om de verbinding tot stand te brengen.
2. Als de service is ingeschakeld maar wordt weergegeven als uitgeschakeld/niet actief via de opdracht Toepassingsstatus weergeven in ISE CLI. Schakel de ACI-integratieservice in ISE uit en schakel deze opnieuw in door naar de voorafgaande stap te verwijzen.
3. Handige stappen voor het oplossen van problemen bij fouten, controleer de ACI Connector component in debug. De logs kunnen worden geverifieerd vanuit de supportbundel of de staartlogs door de opdracht show logging application aciconn.log tail & show logging application workloads.log tail via ISE CLI uit te voeren.

---

ISE Prometheus Exporter

De ISE Prometheus Exporter is een achtergrondservice die de Cisco ISE-statistieken exporteert in een formaat dat compatibel is met Prometheus, een populair open-source monitoring- en waarschuwingssysteem. Dit stelt externe monitoringtools zoals Prometheus en Grafana in staat om ISE-statistieken voor dashboards, waarschuwingen en prestatieanalyse in te nemen. 

---

Belangrijkste kenmerken en functies van ISE Prometheus Service in ISE

1. Gestandaardiseerde statistieken exporteren: exporteert Cisco ISE-prestaties, gebruik en gezondheidsstatistieken in Prometheus, compatibel formaat en maakt consistente en gestructureerde monitoringgegevens mogelijk.
2. Integratie van monitoring door derden: naadloos geïntegreerd met monitoringtools zoals Prometheus, Grafana en anderen.
3. Ondersteunt waarschuwingen en rapportage: statistieken kunnen worden gebruikt om waarschuwingen in Prometheus of geïntegreerde waarschuwingsplatforms te definiëren. Helpt trends of anomalieën in de tijd te identificeren.

---

ISE Prometheus Exporter verifiëren en problemen oplossen 

1. ISE Prometheus Exporter is standaard ingeschakeld in ISE. Als de service niet wordt uitgevoerd, voert u de stopfunctie van de toepassing uit en start u de opdracht Toepassing starten om de services opnieuw op te starten.
2. Handige stappen voor het oplossen van problemen bij foutopsporing, controleer de Prometheus-component in foutopsporing. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of de staartlogs door de staartopdracht show logging application prometheus.log uit te voeren via ISE CLI.

3.Controleer of er gevallen zijn van een hoog gebruik van hulpbronnen op de node, omdat dit van invloed is op de prestaties van ISE Prometheus.

---

ISE Prometheus Alert Manager

ISE Prometheus Alert Manager in ISE beheert de waarschuwingen op basis van de gegevens die worden geëxporteerd door de Prometheus Exporter Service. Het verwerkt de verzamelde telemetriegegevens en activeert alarmen of meldingen wanneer aan bepaalde drempels of voorwaarden wordt voldaan.

---

Belangrijkste kenmerken en functies van ISE Prometheus Alert Manager Service in ISE

1. Waarschuwingsverwerking: bewaakt ISE-statistieken voor anomalieën of drempelwaardeoverschrijdingen zoals hoge CPU-, geheugen- of verificatiefouten. 
2. Werkt met Prometheus Exporter: vult de metrics-exporteur aan door op de gegevens te handelen, waardoor proactief gezondheidsbeheer mogelijk wordt. 
3. Berichtintegratie: stuurt waarschuwingen door naar externe tools of dashboards zoals e-mail, SNMP-traps of andere bewakingssystemen. 

---

ISE Prometheus Alert Manager verifiëren en problemen oplossen

1. ISE Prometheus Exporter is standaard ingeschakeld in ISE. Als de service niet wordt uitgevoerd, voert u de stopfunctie van de toepassing uit en start u de opdracht Toepassing starten om de services opnieuw op te starten.
2. Handige stappen voor het oplossen van problemen bij foutmeldingen, controleer de component AlertManager in Foutopsporing. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of de staartlogs door de opdracht show logging application alertmanager.log tail uit te voeren via ISE CLI.
3. Controleer of er gevallen zijn van een hoog gebruik van bronnen op de node, omdat dit van invloed is op de prestaties van de ISE Prometheus.

---

Protocollenmotor

Protocollenengine is de ISE-service/module die netwerkprotocolinteracties beheert en verwerkt, zoals RADIUS, TACACS+, Diameter en andere verificatie- en boekhoudprotocollen die door ISE worden ondersteund. Zonder dat de protocolengine werkt zoals verwacht, kan ISE geen verificatieverzoeken verwerken of beleid voor netwerktoegang afdwingen. Het zorgt voor veilige en betrouwbare communicatie tussen netwerkapparaten en de ISE-server. 

---

Belangrijkste kenmerken en functies van de Protocollen Engine Service in ISE

1. Radius Processing: behandelt aanvragen voor authenticatie, autorisatie en boekhouding (AAA) van netwerkapparaten. 
2. TACACS+-verwerking: beheert TACACS+, verificatie en opdrachtautorisatie voor apparaatbeheer.
3. Protocol Parsing and Validation: parseert inkomende protocolpakketten en valideert de juistheid. 

---

Protocollenengine verifiëren en oplossen

1. De ISE protocols engine is standaard ingeschakeld in ISE. Als de service niet wordt uitgevoerd, voert u de stopfunctie van de toepassing uit en start u de opdracht Toepassing starten om de services opnieuw op te starten. 

2. Nuttige stappen voor het oplossen van problemen voor debugs, controleer de ProtocolsEngine-AAA, ProtocolsEngine-config, ProtocolsEngine-GRPC, ProtocolsEngine-logging componenten in debug. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of de staartlogs door de opdracht show logging application protocols-engine.log tail uit te voeren via ISE CLI. 

---

Diensten opgenomen in ISE 3.5

Remote Support Authorisation Service

De Remote Support Authorisation Service is de ISE-service die de autorisatie voor externe ondersteuningssessies van Cisco Technical Assistance Center (TAC) veilig beheert. Het controleert of toegang tot externe ondersteuning is toegestaan op basis van het geconfigureerde ondersteuningsbeleid en zorgt ervoor dat alleen geautoriseerde sessies voor probleemoplossing op afstand kunnen worden ingesteld. Deze service helpt beveiligde beheerderstoegang te behouden en stelt Cisco TAC-technici in staat om te helpen bij het oplossen van problemen wanneer externe ondersteuning is ingeschakeld. 

---

Belangrijkste kenmerken en functies van Remote Support Authorisation Service in ISE

1. Externe ondersteuningsautorisatie: valideert en autoriseert Cisco TAC-sessies voor externe ondersteuning.
2. Veilige toegangscontrole: zorgt ervoor dat externe toegang alleen wordt verleend wanneer externe ondersteuning expliciet is ingeschakeld en geautoriseerd.
3. Support Session Management: coördineert autorisatieaanvragen tussen de ISE-node en de Cisco-infrastructuur voor externe ondersteuning.

---

Verifieer en autorisatieservice voor externe ondersteuning in ISE

De autorisatieservice voor externe ondersteuning is standaard ingeschakeld wanneer de functionaliteit voor externe ondersteuning beschikbaar is. Als de service niet wordt uitgevoerd, voert u de toepassingsstop uit en start u opdrachten voor het opnieuw opstarten van services.

---

1. Nuttige stappen voor het oplossen van problemen bij foutmeldingen zijn onder andere RemoteSupport Authorisation-config, RemoteSupport Authorisation-service en RemoteSupport Authorisation-logging-componenten in foutopsporingsmodus. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of worden bekeken met de CLI show logging application remote-support-authorisation.log tail command.

---

ISE Prometheous Alert Manager-service 

De ISE Prometheus Alertmanager Service beheert waarschuwingen die worden gegenereerd door Prometheus en statistieken worden verzameld binnen Cisco ISE. Het ontvangt waarschuwingen van de Prometheus-bewakingsservice, groepeert en onderdrukt dubbele waarschuwingen en stuurt meldingen door naar de geconfigureerde bestemmingen. Met deze service kunnen beheerders de operationele gezondheid van ISE bewaken en proactief reageren op infrastructuur- of toepassingsproblemen.

---

Belangrijkste kenmerken en functies van ISE Prometheus Alert Manager Service in ISE

1. Waarschuwingsverwerking: ontvangt waarschuwingen die zijn gegenereerd uit Prometheus-statistieken.
2. Groepering en deduplicatie van waarschuwingen: hiermee worden vergelijkbare waarschuwingen gegroepeerd en worden dubbele meldingen onderdrukt om waarschuwingsruis te verminderen.
3. Meldingsbeheer: stuurt waarschuwingen naar geconfigureerde meldingskanalen op basis van waarschuwingsbeleid.

---

ISE Prometheous Alert Manager-service in ISE verifiëren

De ISE Prometheus Alert Manager Service is standaard ingeschakeld als onderdeel van het monitoringkader. Als de service niet actief is, voert u de toepassingsstop uit en start u de toepassing om de services opnieuw op te starten.

---

Nuttige stappen voor het oplossen van problemen bij foutmeldingen zijn onder andere AlertManager-config, AlertManager-service en AlertManager-logging in de foutopsporingsmodus. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of worden bekeken met de CLI show logging application alertmanager.log tail command.

---

ISE DataGrid-service 

De ISE Data Grid Service biedt gedistribueerde opslag en synchronisatie van gegevens in het geheugen voor alle Cisco ISE-nodes. Het stelt meerdere ISE-services in staat om runtime-informatie zoals sessiegegevens, eindpuntgegevens, caches en operationele status veilig te delen tussen knooppunten. De Data Grid-service verbetert de schaalbaarheid, prestaties en hoge beschikbaarheid door services toegang te geven tot gedeelde gegevens zonder uitsluitend te vertrouwen op de primaire database.

---

Belangrijkste kenmerken en functies van ISE DataGrid Service in ISE

1. Gedistribueerde gegevensopslag: Onderhoudt gedeelde in-memory gegevens over alle ISE-nodes.
2. Sessie- en cachesynchronisatie: synchroniseert runtime-informatie, eindpuntgegevens en servicecache tussen knooppunten.
3. Ondersteuning voor hoge beschikbaarheid: hiermee kunnen gedistribueerde services efficiënt blijven werken door veerkrachtig gegevens te delen tijdens de implementatie.

---

ISE DataGrid-service verifiëren in ISE

1. De ISE Data Grid Service is standaard ingeschakeld. Als de service niet wordt uitgevoerd, voert u de toepassingsstop uit en start u opdrachten voor het opnieuw opstarten van services.
2. Nuttige stappen voor het oplossen van problemen met foutopsporing zijn onder andere DataGrid-cluster, DataGrid-cache, DataGrid-config en DataGrid-logging componenten in foutopsporingsmodus. De logs kunnen worden geverifieerd vanuit de ondersteuningsbundel of worden bekeken met de CLI show logging application datagrid.log tail command.

---

Standaardproblemen in ISE

Afgezien van de problemen met ISE-services, zijn dit enkele zorgen die worden aangetroffen in de ISE-knooppunten, samen met basisstappen voor het oplossen van problemen:

---

Verificatie van gemiddeld hoge belasting, problemen met bronnengebruik (CPU/GEHEUGEN/SCHIJF), onvoldoende bronnen

1. Controleer of de door Cisco aanbevolen bronnen aan de node zijn toegewezen door de opdracht inventaris weergeven via ISE CLI uit te voeren.

2. Voer vanuit de CLI van de ISE-node de opdracht tech top uit om het gebruik van de ISE-bronnen te verifiëren.

3. Controleer het schijfgebruik door de opdracht Disk weergeven uit te voeren via ISE CLI.

4. Schoon de inactieve eindpunten op, verwijder de lokale schijf van de node en voer upgradeschoonmaakacties uit.

---

Als het probleem zich blijft voordoen, neemt u contact op met Cisco TAC en zorgt u voor de beveiligde supportbundel, heap-dump en thread-dump vanuit de node die het probleem ondervindt. 

---

1. Log in op de CLI ISE-node en voer de opdracht Toepassing configureren uit om de heap dump te beveiligen. Selecteer optie 22.
2. Log in op de CLI ISE-node en voer de opdracht Toepassing configureren uit om de thread-dump te beveiligen. Selecteer optie 23. De thread dump is opgenomen in de support bundel of kan worden getailleerd via ISE CLI met de show logging applicatie appserver/cataline.out opdracht.\

---

Controleproblemen controleren en oplossen

De functie Monitoring and Troubleshooting (MnT) van ISE is een van de belangrijkste blokken van de ISE-architectuur, die monitoring-, rapportage- en waarschuwingsmogelijkheden biedt. ISE toont monitoringinformatie op vele plaatsen, waaronder: 

• Cisco ISE Startpagina
• Contextzichtbaarheidsweergaven
• RADIUS Live Logs en Live Sessions
• Globale zoekopdracht
• Dreigingsgerichte NAC-livelogs
• TACACS Live Logs

---

Algemene problemen die zijn waargenomen in de categorie Controle en probleemoplossing:

1. Radius/TACACS Live-logs niet beschikbaar
2. Live sessies niet beschikbaar
3. Gezondheidsoverzicht niet beschikbaar
4. Problemen met de prestaties (hoge CPU/geheugen) op de (MnT-knooppunten)

---

Fouten die op de MnT-knooppunten moeten worden ingeschakeld om het probleem te beperken:

1. Cisco-mnt
2. verzamelaar
3. CPM-mnt
4. runtime-logging

---

Naast de onderdelen in debug, kan deze informatie helpen bij het oplossen van problemen:

1. Worden live sessies ook beïnvloed of alleen live logs?
2. Worden Radius- of TACACS-logs beïnvloed of beide?
3. Ziet u een hoog CPU-gebruik of een hoog gebruik van wisselruimte op MnT-knooppunten?
4. Hoeveel bufferbestanden ziet u op de MnT-knooppunten? Bufferbestanden zijn te vinden onder: /opt/CSCOcpm/mnt/data/collector
5. Zijn de geheugen- en CPU-reserveringen ingeschakeld? Zo niet, schakel deze dan in.
6. Is de MnT/config/session DB reset recent of in het verleden uitgevoerd?
7. Worden de syslogs van de PSN's naar MnT-knooppunten verzonden?

---

Als u Syslog-services voor MnT gebruikt, is deze informatie vereist voor het oplossen van problemen:

1. Gebruikt u beveiligde syslog-doelen, zo niet, schakel deze uit, omdat bekend is dat deze blokkades in threads veroorzaken waardoor verzamelaars niet meer werken.
2. Als u beveiligde syslog-doelen gebruikt, moet u ervoor zorgen dat cert mapping correct is ingesteld onder Beheer > Logboekregistratie > Externe logboekdoelen > Secure Syslog Collector 1 en 2
3. Controleer of de logboekcategorieën correct zijn ingesteld (aanbevolen om ongebruikte/ongewenste logboekcategorieën te verwijderen - dit vermindert de belasting op MnT-knooppunten) en of de logboekdoelen correct zijn geconfigureerd.
4. Controleer de awrrep*.html-bestanden uit de ondersteuningsbundel om te begrijpen en een hint te ontvangen van welke component frequentere syslogs verzendt. Als TACACS-tabellen bijvoorbeeld worden weergegeven met invoegen of bijwerken van query's, kan TAC de collectorlogboeken controleren om te correleren en begrijpen welke syslogs vaker worden verzonden.

---

Als het probleem verband houdt met de prestaties op de MnT-node, vereist TAC deze informatie:

1. Technische topuitvoer van de ISE CLI van de MnT-node.
2. Als de CPU hoog is, ziet u dan een hoog geheugen of een hoog gebruik van wisselruimte?
3. Ondersteuning bundel met de heap dump en draad dump beveiligd.

---

referentie

• Cisco Identity Services Engine Administrator Guide, versie 3.3
• Cisco Identity Services Engine Administrator Guide, versie 3.4 
• Troubleshooten en foutsporing inschakelen op ISE

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	06-Aug-2026	Bijgewerkte spelling, grammatica, alt-tekst, CCW-waarschuwingen, ingevoegde horizontale regels om secties/leesbaarheid te scheiden.
1.0	26-Mar-2025	Eerste vrijgave